Beretta_Vexee a écrit 1582 commentaires

Ca peut étre tous simplement du samba a la Geekbox, rien n'interdit a la Freebox d'aller monter les partages samba d'une machine windows ou linux pour aller lire les fichiers sans logiciel coté PC. La télécommande servirait donc a explorer, faire des playlist ou autre.

Apres si il y a vraiment télécommande cela peut tous simplement étre du VNC.

Non, si tu la retrouve elle est encore la propriété de Free, si mon voisin perd ses clés ou son chien et que je le retrouve ils ne sont pas a moi. Tous ce que cela te donnera comme droit c'est de restitué l'un des freebox pour que free te rembourse les dédommagement de non restitution que tu a payé pour la perte d'une freebox. Il ne peut y avoir vente que si il y a consentement mutuel des deux parties, donc si free refuse de vendre une freebox, tu n'as aucun moyen de faire jouer la GPL.

Initialement oui, maintenant cela n'a plus de sens mais l'acronyme est resté question de continuité.

VLC (initially VideoLAN Client) is a highly portable multimedia player for various audio and video formats (MPEG-1, MPEG-2, MPEG-4, DivX, mp3, ogg, ...) as well as DVDs, VCDs, and various streaming protocols. It can also be used as a server to stream in unicast or multicast in IPv4 or IPv6 on a high-bandwidth network.

Oui mais ca l'utilisateur lamnda n'en a rien a taper.
Déjà il utilise MSN en remplacement du mail ou du telephone dans enormement de cas, il ne prend donc même plus la paine de transmettre son addresse autre que hotmail ( et encore quand il la vérifie ) ou ses coordonnés pro.

les IM c'est vraiment un compromit entre les e-mail et le telephone, tu es la je t'appel, on discute et je t'envoye des fichiers. L'avatar est essentielle pour l'utilisateurs distré qui communique avec 4 personne en même temps sans vérifier les pseudos ou autre.

Si tu as ta bd + tes binaires de tripwire sur des supports en lecture seule (comme c'est preconise) j'ai un peu de mal a le croire car le module il doit bien etre quelque part ; et par consequent tu vas le reperer. D'autant si tu compile un noyau sans le support des modules (j'avais lu quelque part quo'n pouvait quand meme forcé mais aucune confirmation a ce sujet).

Un systéme complet sans un espace accessible en écriture, sans support module, etc etc ... ce n'est pas très courant. La faille qui permettait de charger des modules sur un kernel dépourvue du support existé sur les kernel 2.4 de mémoire, elle a été corrigé depuis. De plus tripwire ne vérifie que les fichiers qu'on lui a demander de vérifier, il est très rare qu'il scan tous une partition.

Mais si tu as une intrusion ; il a donc acces a tous tes documents. Tu as protégé tes cles ; c'est bien tu ne sera pas oblige d'en regenerer de nouvelles ; mais a part ca...

Ne serais ce que cela a son importance par exemple dans le cas de certificat de signature numérique. Mais en plus il y a de forte chance pourqu'il ne te vole que tes documents codés.

Bien entendu si l'os est pas sur on peut partir sur n'importe quoi derriere (y compris tcpa); le message ne sera jamais sécurise.

Ce n'est pas parce qu'il y a intrusion que l'intrus est forcement root, donc oui si l'intrus est root, rien ne pourra l'empécher d'attendre le bon moment pour dumper la mémoire au moment opportun ou autre. Si il ne l'ait pas TCPA risque d'être un rempart assez solide.

Quel est l'utilité de continuer sur quelquechose dont on sais qu'il y a une possibilite , certes faibles, mais qui est la , qu'une methode de recherche d'exploits existes. La nsa est le premier employeur de matheux aux mondes; si il y a une possibilité il ont les cerveaux disponibles pour la trouver; et ne vous attendez pas a ce qu'il la publie.

Si la NSA est dans la liste des tes ennemies, je crois que tu as d'autre problème plus urgent. Soyons réaliste aucun geek isolé ne peut lutter face a des agences de renseignement militaire, au pire si ils veulent vraiment savoir ce que contient ton disque dur ils viendront te rendre visite.
La NSA comme de nombreuses agence internationnals dans le monde font de la veille technologique, si ils avaient trouvé une faille il ne la publierait peut être pas, mais il laisserait filtrer ou ferait des recommandations a leurs concitoyens de ne plus utiliser SHA-1. La sécurité informatique et le cryptage ne se cantonne plus aux simple interet gouvernementaux a l'heure ou l'activité des ces services touche de plus en plus a l'intelligence économique. La NSA avait fait des recommandation pour renforcer DES, la NSA est plus ou moins a l'origine de l'appel d'offre pour SHA-1 et AES, ... La situation est loin d'être alarmante, MD4 est totalement abandonné pourtant générer une préimage est toujours horriblement long sur une machine actuelle. On déconseille MD5 en faveur de SHA-1 alors qu'il n'est toujours pas possible de générer dans un temps raisonnable des préimage MD5.

pour les cartes a puce j'ai vu des programmateurs de carte a puce avec logiciel (pour uploader le code) pour windows a 35 euros . Ensuite j'avoue que j'ai jamais developpe pour mais si la programmation suis certaines normes des outils de developpements libres doivent exister non ?

En fait le support pour le libre de tous ce qui est lecteur de carte et lecteur d'empreinte est vraiment a la traine. C'est un secteur ou il y a d'innombrable standards que ce soit de lecteurs, de carte, d'interface, d'API et autre. Le but non avoué de toute la profession étant de ne pas vendre des lecteurs ou des cartes, mes des « solutions d'identification » et autre. Personnellement j'ai un lecteur d'empreinte que je n'ai jamais put utiliser a cause de cela, il ne communique que via un protocole spéciale non documenté.
Donc soit vous passez par un professionnel qui vous vend une solution, soit vous investicez dans un kit de dev.

Je parlais de pseudo aleas car vous disiez que palladium avait un generateur d'aleas. Par contre aucune indication sur le comment il genere son aleas.Si ce n'etait que du pseudo aleas alors la on peut faire presque aussi bien (toujours le problème de la graine) en soft ;). Et comme je le vois mal mesure le nombre de rayons cosmiques ou faire des mesures physiques semblables ;)

Un je ne parle pas de Palladium, bien malin celui qui pourra parler en détail de palladium/NGSCS/trucbidule, je dis simplement que la puce TPM intégre un générateur d'aléa cryto, donc un vrais générateur d'aléa pas un pseudo apres comment ils font, je n'en sais rien. Il y a une vrais guerre des brevets et des technologie dans ce domaine, la plus part des techniques utilise des probabilités physique, émission d'un photon et est ce qu'il passe ou pas un filtre polarisé ou un filtre spéciale, trajet d'un électron, etc etc ... donc la mesure des rayons cosmique n'est pas plus irréaliste que cela.

Parce que avoir un truc qui fait tous en meme temps c'est la meilleure facon de tout faire mal :-D
si les veritables generateurs d'aleas prennent bien plus de place qu'une simple puce; c'est qu'il y a sans doute une raison non?

Les dernière générations prennent la forme de simple puce, mais a ce que j'ai comprit ils font intervenir des méthode de fabrications exotiques, ce qui explique leurs couts ( petite série plus cout de fabrication ). Si demain ( ou hier ) Intel décide d'intégrer ces méthodes de fabrication a ses usines le prix chuterais énormément.

C'est pas en balancant des mots que vous pensez prouver a quiconque que "vous savez de quoi vous parlez" .

Je ne balance pas des mots, je me suis simplement intéressé au sujet, et j'ai lue les doc fournit a chacun des attaques sur MD5 et SHA-1.

Il y a eu une proof of concept sur sha-1 ca me suffit !

Proof of concept de quoi ? du fait que l'on pouvait calculer en un temps réduit une collision sur deux bloque plus ou moins tiré au hasard. Cela ne remet pas en cause l'utilisation de SHA-1 pour le moment, les prévisions les plus paranoïaques préconise le passage a SHA-256 a partir de 2010.

J'essaie pas de prouver que j'ai la plus grosse moi...

J'ai jamais pretendut avoir une grosse voiture tous les linuxfriens qui me connaisse savent que j' ai une toute petite twingo ;-)

On est bien d'accord . Donc tcpa n'apporte rien de plus que les système actuels merci. Parce que c'est bien ce que vous disiez que tcpa etait plus mieux car transitait pas en memoire toussa. Et comme avec une politique de secu suffisante (tripwire et consors) on pouvais tres bien arriver a la meme sécurite que tcpa : un os sur.

Tripewire se fait roulé dans la farine par le première rootkit sous forme de module kernel venue, et ce depuis des annés ( 2-3 tous au moins ). TCPA ne prétend pas rendre l'OS sur, il prétend simplement protéger les jeux de clés du vole suite a une intrusion, et ça pour le moment je ne connais aucun systéme qui puisse le faire en software.

Non j'en tire comme conclusions; comme les militaires utilisent PAS des portables avec tcpa pour la communication avec leurs sous marin (pour la bonne et simple raison que quand ils etaient lancé ca n'existait pas), il doit exister quelquechose d'au moins aussi sur. (pour la petite histoire il utilisent de tete du one time pad pour la communication avec les snle).
VOUS etes le seul a les traiter de "cretins" je n'ai jamais tenu de pareils propos; et ce n'etait absolument pas le sens de ma phrase. Etes vous sur de l'avoir bien lu?

masque jetable + offuscation + divers joyeusetés au niveau des fréquences et une vitesse de transmission ridiculement faible. Mais ils ont l'énorme avantage d'être dans un sous-marin cad qu'il y a très peut de chance pour qu'on vienne leur voler leurs masques jetables ( on retrouve notre coffre fort). Dans un environnement comme un PC utiliser la technique du masque jetable ( one time pad), c'est bien beau mais cela ne fait que déplacer le problème, au lieu de protéger une clé on doit protéger un masque qui est plus encombrant et peut pratique si l'on ne connait pas a l'avance le volume de donner a crypter.

La technique du masque jetable est en effet infaillible, mais a une condition essentielle, il faut un canal sûr pour échanger les masques avant l'utilisation ( dans le cas de notre sous-marin, ce sont les valises plombés ) dans le cas d'un PC, votre clée USB, votre disque ou autre ne peuvent pas faire office de canal sûr. Le systéme du masque jetable n'est pas résistant aux intrusion, alors que c'est le principal intéret de TCPA.

Donc vous etes en train de me dire que quelqu'un qui vous pique votre portable; il peut pas s'amuser a dessouder la puce tcpa pour essayer de recuperer le mdp etc ?

Si il a accés a une salle blanche, et aux infrastructure nécessaire pour lire l'intérieur d'une mémoire composant sans l'altérer, c'est que vous avez la NSA ou une multinationnal sur le dos.

Parce que si il est possible de changer le mot de passe , il peut etre peut etre possible de le changer sans avoir a rentrer le précedent.

A ce moment autant ne pas mettre de mot de passe, je pense que les concepteurs n'était pas totalement incompétent.

Est ce que des montages en bootant sur quelquechose qu'il estime comme etant sur (le pc qu'il reconnais bien ) et qu'ensuite il se met sur "son" pc pour utiliser son système je vois pas vraiment ou est le problème ( a part le montage technique mais de bons mux rapides devrais pouvoir aider).

Le problème c'est que si vous bouger n'importe quel composant de la chaine de confiance vous perdez le transitionnel trust donc la confiance, donc interchanger le Bios, la puce ou l'OS ne fonctionnera pas. Maintenant cela relève toujours de l'attaque physique, en cas d'attaque physique aucun système n'est sur. Donc discréditer le système sur la base d'une attaque physique complexe ne prouve pas grand chose au final.

Tellement trollesque qu'il suffit de regarder les offres d'emploi pour voir que c'est vrai. Je ne lancait pas le troll word mais bel et bien le problème de "une fois que la majorite l'utilise on fais comment pour acceder a cette majorite" .

On y accéde pas, si on suis votre raisonnement on se demande d'ailler se que vous faite avec un OS libre ce qui vous coupe de la très large majorités des formats, application et utilisateurs windows.
De plus comme vous le faitez judicieusement remarqué cette scission n'a absolument pas besoin de puce pour exister, les incompatibilités s'en charge déjà, et les DRM vont renforcer cet état de fait.
Donc dire que TCPA sera la cause de cette scission n'est pas pertinent et reléve du troll.

Le one time pad est prouve inconditionnellement sur?

La technique du masque jetable n'est sûr que si toutes les conditions d'application sont réunis ( canal sécurisé, un masque aussi long que le message, etc etc ...), ce qui n'est pas le cas sur un PC classique. Et qui de plus est relativement inadaptés ( Comment je vais transmettre mon masque a tous mes correspondant, comment j'évalue la taille de mes messages, etc etc ..)

Sha1 a une proof of concept?

Ce proof of concept n'entame pas pour le moment l'utilisation de SHA-1 dans le contexte actuel ( par exemple pass + canarie, signature, le seul domaine touché pour le moment ce sont les documents programmable http://www.cits.rub.de/MD5Collisions/(...) )

Le lecteur de carte a puce a 30 euros chez selectronic?

Le lecteurs seul sans rien pour l'utiliser surment, maintenant si tu compte faire quoi que ce soit avec au mieux tu t'en tire pour 100¤. http://www.smartcardsupply.com/Content/Hardware/AC-KIT.htm(...)

Ou est ce que j'ai dis des generateurs d'aleas qui valent une fortune?

Bas TCPA en intégre un a moindre prit pourquoi se priver.

J'ai dis des generateurs pseudo-aléatoires.
Vu votre niveau ou vous savez meme pas differenciez aléatoires et pseudo aléatoires , vous etes vraiment mal place pour me dire quoi que ce soit.

Hors le masque jetable dont vous semblez fan n'est pas une technique sur avec un masque pseudo-aléatoire, mais bon passons.

Bref etes vous tellement a court d'arguments que vous partez en attaques ad hominem ?

Quoi déjà ? Non, en général je deviens franchement de mauvaise fois quand je tombe a court d'argument.

Le mémoire de projet d'un ami sur la méthode de Wange et Klima sur MD5:
http://smertrios.atr.free.fr/crypto/(...)

Même en suivant la méthode décrite par Wang, il semble que ce soit beaucoup plus complexe que prévue ne serais que de produire des collisions au hasard. Alors trouver des collisions sur un password simple ( calculer une pré-image ), ce n'est absolument pas d'actualité qui plus ait quand la plus part des systéme de signature et de password utilise des canaries pour complexifier encore la chose.

Donc MD5 a encore quelques beaux jours devant lui, c'est encore plus vrais pour SHA-1 ( les techniques de précontrainte sont similaires que ce soit pour MD5 ou SHA-1, c'est juste un peut plus simple pour MD5 ).

Je suis bien d'accord sur le fait qu'un systéme fiable ( et non pas seulement l'OS ) constitue l'essentiel, rien ne sert de crypter ses communications avec des clés énormes si son systéme est une vrais passoire.
Mais ces systéme dépasse largement le cadre du simple marketing, la pile non exécutable qui permet d'éviter l'exploitation de la plus part des buffer overflow est un gain de sécurité notable, TCPA s'inscrit dans le même domaine, il ne prétend pas renforcer l'ensemble de la sécurité du systéme mais renforce la sécurité de la gestion des clés, ce qui est un plus par un protection universel.

Sur un Desktop actuel ou l'OS représente finalement qu'une petite partie des applications qui tourne, je pense qu'il est illusoire d'espérer avoir un systéme fiable et sécurité a 100%, car si la faille ne vient pas de l'OS elle viendra de l'utilisateur ou des logiciels.

Question béte pourquoi vous ne luttez pas contre le pentium D et DTCP-IP et LaGrande avec autent de vigueur qu'avec TCPA ?
C'est systéme ne sont ils pas pourtant plus dangereux et non supporté par le libre ?

Je reste perplexe quand a vos motivations, comme je l'avais indiqués le remote attestation est en effet un fonction demandés par les industriels, qui est rendue possible par TCPA, mais rien n'implique que le support de TCPA dans un systéme ou un environnement libre inclue forcement une fonction de remote attestation. Je crois avoir lui ici même que certaines puce comme celle d'IBM ne permettait pas a l'heure actuel la remote attestation ( a vérifier ).

Je suis tous a fait d'accord sur le fait que le remote attestation dans certaines situation somme toutes rares peut poser problème et que cette fonction n'est pas essentiel quand a la sécurité, mais je ne comprend pas pourquoi vous voulez absolument rejeter toutes les avancés de TPM en bloque, cela plusieurs fois que nous avons des échanges sur ce points sans que vous ayez fournit un début de réponse.

SHA-1
Oki c'est bon ta puce est naze .

Hum quel analyse, je crois que je vais la transmettre a mes amis qui en sont a leurs deuxiéme mémoire de recherche sur la recherche de collision sur MD5 et SHA-1. Tu peux nous expliquer comment tu as pour calculer casser du SHA-1 ? Méthode de V. Klima, Wang & Al ? Pré-contrainte, calcul de collision par bloc, ou génération de pré-image ?

Plus sérieusement tu connais quoi que ce soit aux recherche de collision d'une fonction de hash ? Qu'est ce qui te permet de dire que SHA-1 ou SHA-256 ne sont plus sur pour un usage cryptographique ? Parce que la communauté est très mitigé au sujet de a conséquence des dernières attaques, donc tes jugements a l'emporte piéce tu peux te les garder.

Le sniffage du bus est relativement difficile sans modification du Bios,
On parle pas forcémenet de sniffagesoftware mais d'une possibilite de sniffage hard .

La dernières fois que j'ai vue un sniffage hardware c'était sur un bus de 8bit a 4Mhz, et le montage n'était pas spécialement peut ou discret. Donc oui il est possible de sniffer le bus d'un PC moderne, maintenant si Jean Bond et une équipe de technicien sont venue bidouiller ton PC pendant ton sommeil, on désouder la moitié de ta carte mère, underclocker le tous a une vitesse ridicule histoire de pourvoir sniffer quelque chose sans que vous vous en aperceviez, ou plus simplement que le Mossad est venue vous kidnapper vous et votre PC, oui TCPA n'y peut rien, mais avouez que c'est une situation un peut particulière.

et qu'est ce qui empeche de faire un système qui fasse quelquechose de semblable a du "hotswap" . tu boot sur un système sur jusqu'au point ou le tcpa ne regarde plus; et tu la swap sur le système non sur.

Heu comment dire... Tu sais qu'on parle d'un PC avec fonction cryptographique la, pas d'une playstation ? Je me vois mal t'expliquer un concepte que je maitrise mal comme la transitionnal trust mais je peut t'assurer que ce type de manip n'est pas possible ( de plus on retombe dans la situation du dessus ou le Massid est venue ressouder une puce sur ta carte mére.

Marrant parce que moi j'en ai trouve aucun plus a cette soi disante "revolution".
Et bizarrement je crois pas que c'est ce qu'utilise les militaires ...

Tu en tire quel conclusion ? que les militaires sont des crétins in compétant en matière de sécurité ? Tu semble avoir une très haute estime de toi même, au fait d'ou tu connais les systèmes de protections ou de cryptage militaires ? Parce que personnellement tes sources m'interesses.

De meme que word est pas obligatoire; mais que le .doc est obligatoire pour envoyer les cvs a certaines boites . Une fois que tu auras ton net de confiance qui ne parlera qu'entre personne equipe de tpm tu feras quoi ?

Paralléle trollesque

J'avoue que la j'ai du mal a voir le "donc" . Si il suffisait de dire quelquechose pour qu'elle soit vrai...
C'est a peut prés la seul chose sur la quel nous soyons d'accrod, vous disez vous même beaucoup de chose fausses ou infondés.

oui tres ; si je veux utiliser un generateur d'aleas je prend un truc que je sais comment il marche. Et generer du pseudo aleas une fois que tu as une graine de + de 80 bits c'est assez facile en fait; si c'est ce qu'ils font ; alors la sécu restera celle de la graine dans le tcpa. rien de superbe quoi.

Vue votre niveau ( croire qu'un générateur d'aléa crypto carte qui seul valent une fortune , se base sur une simple graine ), si vous vous limitez aux mécanisme que vous comprenez je vous conseil les dés, les joueurs de jeux de rôle on fait beaucoup dans ce domaine vous en trouverez de toutes les tailles et couleurs dans de nombreuses configurations ( 4,6,8,10,12,20,30 faces pour se limiter aux polyèdre régulier ).

C'est pas parce que c'est que dans une puce que c'est plus sécurise : quid des fonctions de hashages qui ont des collisions maintenant ?

Je ne vois pas le rapport avec les fonctions de hashages, les fonctions de hashages ont toujours eux des collision ( c'est quand le calcule pour trouver ces collisions devient possible en un temps raisonnable que cela devient un problème ).

Si les clés sont cantonnés dans la puce, les risque de vole de clé sont presque nul, c'est la que ce trouve le gain de sécurité, maintenant si tu n'as pas confiance dans les fabricants de la puce en effet je ne vois pas ce qui pourrait te conviancre et te conseillerait de jeter au plus vite ta carte bleue, ton téléphone portable et autre.

Alors tu me dis que ca sort pas de la puce. Mais comme dis précédement ca me fait une belle jambe que ca sorte pas de la puce ; sachant que les documents a chiffrer il faudra bien les amener a la puce. Et vu que tu as si peu confiance en ton pc ; on peut tres bien sniffer le bus de données !

Le systéme n'est pas une protection absolue, la protection absolue n'existe pas, de plus TCPA ne s'occupe pas spécialement de la protection des donnés une fois décrypté. TCPA se focalise sur la protections des clés et dans ce domaine c'est un gain incontestable en matière de sécurité. De plus si tu utilise toutes les fonctions de vérification d'intégrités de TCPA, cela limite fortement les chances pour qu'on sniffe ton document a un endroit ou un autre de la chaine ( bien que des attaque physique comme le sniffing du bus reste possible ).

Et de toute facon vu que tu dis qu'il y a une possibilite de sniffer; alors dans ce cas il y a aussi une possibilité que la puce ait une backdoor ou autre !

On peut avori le même raisonnement avec tous les systémes, qui te dit que ton processeur actuel n'intégre pas une backdoor ? La protéction absolue n'existe pas, mais est ce pour autant que l'on doit abandonner tous les systèmes de protection pour autant ? Doit on dire non a un système plus robuste sous le prétexte qu'il n'est pas « la protection absolue et universel ? ». En effet TCPA ne peut rien contre les personnes qui lisent par dessus ton épole ou si un pirate a sortie un train de cable de ton PC pour sniffer directement le bus donné... dans les autres situation TCPA renforce la sécurité de tes clés et donc de tes donnés.

Maintenant supposons qu'elles sont transferer de manière "coder" entre deux puces tcpa. Qu'est ce qui empeche d'avoir une puce "tcpa" virtuelle; Les fonctions etant bijectives oh tiens ca alors j'ai la clé en clair ; je me suis pourtant juste fait passer pour une autre puce...

Parce que les puces TCPA contiennent une certificat numérique, comme lors d'une connections SSL, les deux puces vont vérifiés qu'elles ont bien affaire a une puce TCPA avant de négocier et d'établir le canal crypté pour le transfére des clés. Donc pour que ta puce virtuelle ( emulateur ) fonctionne il faut d'abord que tu réussice a récupérer le certificat d'une puce TCPA existante. Vue que ce certificat est dans la puce et le mécanisme de signature et d'identification sont costaux je te souhaite bonne chance.

La encore comme pour verisign ou tous autre CA, certificat ou autre, la compromission est possible, mais fort improbable.

donc dans tous les cas aucun interet particulier avec cette "superbe" puce tpm, si ce n'est d'offrir qu'une illusion de sécu que l'on a bien plus par les systèmes decris au dessus.

Je ne sais pas qui s'illusionne en stockant ses clés ou son pad lock en claire ou avec plus ou moin de cryptage sur un disque dur.

Ensuite un lecteur de carte a puce 100 euros ? on doit pas avoir les meme fournisseurs
perso sur un catalogue de selectronic de 2004 j'en trouve a 30 euros ...
soit 35 euros de pseudo economie car une carte a puce est quand meme sacrément plus mobile qu'un portable ...

On parle bien de carte a puce cryptographique la ? Parce qu'a 30¤ j'achéte de suite. Plus sérieusement une carte a puce en mesure de faire du RSA et de la signature cela coute au minimum de 15-20¤ la carte et je sais de quoi je parle. Pour 30¤ le mieux que tu puisse trouver c'est un lecteur d'empreinte digital sans pad lock, ou un lecteur de carte d'identification ( carte incapable de gérer des certificats genres X.509 ou des clés RSA ).

Je rappelle que la sécurite maximale d'un système ets toujours la sécurite maximale du plus FAIBLE maillon !
Donc si tu estime que l'os est le plus faible maillon ; que ce soit dans une carte a puce , une puce ou autre ; sachant que tu utilise l'os ; tu auras toujours la meme sécu.

Bof en cas de compromission, tu te fera voler ton keyring et le hackeur pourra travailler a le decoder bien tranquillement chez lui, avec TCPA il ne pourra pas te voler ton keyring, c'est déjà un plus important.

Aprs bien évidement tu vas me dire qu'il est passé root, et qu'il va dumper la mémoire ( et transférer le bon Go du dump furtivement ) au bon moment et partir a la chasse de ton document dans le dump etc etc ... Personnellement je trouve ce sénario moins probable que le vole de clé, de plus il serait tout autant imaginable avec un solution sans TCPA.

Donc oui encore une fois TCPA n'est pas la protection ultime, mais il offre un gain énorme dans le domaine de la protection des clés.

Différence entre TCPA et Palladium, tenant et aboutissant des deux technologie:

http://www.miscmag.com/articles/index.php3?page=911(...)

Les deux gros projets qui utilise TCPA sous linux, les FAQ explique assez bien ce que fait TCPA et ce qu'il ne fait pas:

Enforcer linux
http://enforcer.sourceforge.net/(...)

TrouSerS
http://trousers.sourceforge.net/(...)

Non de base seule le RSA ( 2048, 4096bit ), AES ( 256bit ), SHA-1 et le HMAC sont imposés en standard, d'autre peuvent être ajouté ( ECC par exemple, taille de clé plus large, etc etc ). Ce qui couvre déjà un bon nombre de situation.

Le sniffage du bus est relativement difficile sans modification du Bios, c'est d'ailleur pour cela que la puce TPM peut vérifier l'intégriter du Bios et de toute a séquence de boot, si c'est une condition d'acces a certainnes clés.

La sécurité absolue n'existe pas, c'est évident, mais TPM offre un gain énorme en matiére de sécurité des clés c'est indéniable, a ce jour aucun systéme ( même les cartes a puces ) ne peuvent offrire une telle sécurité.

TPM, n'est pas palladium, et personne ne t'oblige a l'utiliser ou a faire quoi que ce soit avec. Si tu ne souhaite pas utiliser les fonctions TPM de ta machine tu peux même les bloqué si cela t'amuse ( c'est tous a fait prévue ).

Tu parle d'un bon générateur d'aléas ? Tu sais que la puce TPM peut servir de générateur d'aléa cryptographique, donc bien plus sur que celui de linux ? Donc rien ne t'empéche d'utiliser TPM pour renforcer ton one time pad, sans utiliser les autres fonctions de TPM ( même si c'est un peut béte ).

A tu une preuve partielle de la sécurité de ta carte bleu ?

Tu ne peux essayer de brutalforcer une une clé coder que si tu as la clé a disposition, hors avec TCPA la clé est bien cachés dans sa puce, et vue que la durée entre deux essais infructueux est protégés le brutal force est inéfficasse face a ce systéme.

Le mot de passe administrateur de la puce est défini par le propriétaire, il est tous a fait possible de le modifier. C'est d'ailler de mon point de vue le seul point faible du systéme, ce type d'opération devrait n'être entreprise par l'utilisateur qu'a partir d'un systéme de confiance ( boot a partir d'un CD ), pour être sur que son systéme n'est pas logger. Il y a bien évidament une protection hardware de disponible mais c'est cette dernières qui faire peure a beaucoup, c'est celle basé sur le transitonnal trust, CAD, la séquence de boot dont l'intégrité est vérifié par la puce. En gros tu par exemple défini dans ta puce que le mot de passe admin ne pouvait être modifié que si, la machine avait bien le même BIOS, le même bootloader et booté sur le même kernel afin d'être sur qu'il n'y a personne pour écouter le pass admin entre la prise de ton clavier de ta carte mère et la puce. Cette fonction n'est pas obligatoir et comme je l'ai dit plus haut on peut très bien le configurer pour un CD-ROM ( je pense même que c'est la solution la plus simple dans le cas d'un OS open source de geek, qui par définition fluctue pas mal ).

Donc pour résumé, tu peux changer le passe, des protections existe mais ne sont pas obligatoire, configurer la puce pour que le passe ne puisse étre changer que dans le cas d'un boot a partir d'un CD prévue pour semble étre une bonne solution. ( Dans tous les cas il faut bien évidement l'ancien mot de passe admin pour pouvoir modifier le dernier. )

Le problème du One time pad est identique a celui du crytpo loopback, les clés se baladeront en mémoire a un moment ou un autre, alors que TCPA est prévue pour que même un espion coder dans le Bios ne puisse pas les interceptés. TCPA est un systéme beaucoup plus résistant ( apres il est evident qu'un telle niveau de sécurité n'est pas nécessaire pour tous le monde, mais il ne faut pas oublier que TCPA a été consut avant tous pour les professionnel ).

Ce n'est pas une boite noire ou de l'ofuscation, c'est un module de sécurité comparable a toutes les cartes a puces, que ce soit pour de carte de payement, de téléphone, TV satélite ou autre. TCPA a même l'énorme aventage d'étre standardisé documenté et implémentable librement.

Il y a forcémenet un moment ou elles sont en clairs . rien ne l'ui empeche d'avoir une puce qui se fait passer pour uen puce tcpa et qui est en réalité juste une grosse bd qui les stockent en clair...

Tu pense sérieusement que deux puces spécialisé dans la cryptographie ne sont pas fichue d'établir un canal crypté avec authentification forte pour transférer les clés ? C'est d'alleur la grosse limitation des emulateurs TCPA, comme ils ne peuvent pas prouver qu'ils sont de réel puce TCPA ils ne peuvent pas récupérer les clés d'une puce TCPA.

Pour le fait que ce ne soit pas "utilisable" pour palladium ou autre, je suis desole mais c'est toi qui le dis, tant qu'on ne sait pas ce qu'il y a reelement dans la boite , je ne leur ferait pas confiance .

Palladium repose sur la technologie LaGrande, qui est fondamentalement différente de TCPA, LaGrande est un systéme de cryptage a la volé de la RAM, afint d'établir des canaux sécurisé au saint même de la machine, l'un des utilisation de telles canaux c'est le DRM ( plus de contenue en claire dans la ram, ou même vers la carte son ). Alors que TCPA ne s'occupe que de la protection des clés, et de la vérification de l'intégrité du systéme.

Avec loopfs, tes Clées et ton systéme crypto devront être décoder en mémoire a un moment ou un autre pour être utiliser. TPM est plus similaire a une carte a puce, la gestion des clés et autre ne sorte jamais de la puce c'est la toute la force du systéme, les clés ne sont jamais accessible a quelque moment que ce soit, elles sont gérées, générés et utilisés dans la puce et jamais par le processeur centrale dans de la RAM, et quand elles sont transférés c'est uniquement d'une puce TCPA a une autre puce TCPA de maniére coder.

En gros avec TCPA tu fait l'économie d'un lecteur de carte ( 100¤ ) et d'une smart card avec des fonction de module de sécurité ( 15¤ la carte ), soit 115¤ d'économie rien qu'en utilisant une techno déjà présente dans ton portable.

Parce que le "remote attestation" est une fonction rendue possible par TCG, et qu'elle est demandé par divers systéme. Maintenant comme SSL ou autre systéme de certificat et d'authentification mutuel, personne ne t'oblige a l'utiliser.
Si tu n'accepte pas le "remote attestation" ( ce qui est aussi mon cas ) tu n'installe pas de systéme qui implémente une telle fonction, le remote attestation se base sur TPM, mais TPM ne fournit pas de base un systéme de "remote attestation".

TPM peut servir a énormément de chose différente de l'attestation, mais bon je praiche dans le dessert j'en suis bien conscient. TPM est un jeu de fonction cryptographique très puissant, après chacun peut construire ce qu'il veut avec, que ce soit en bien ou en mal tous comem n'importe quel autre technologie.

Nous dire que si l'on supporte TPM, on va automatiquement être sous le contrôle de fournisseurs de contenue des corporation et autre par contre c'est un mensonge, TPM n'est pas un DRM, TPM est documenté et existe déjà dans pas mal de machine depuis un bout de temps. Si vous vous inquietez vraiment de la remote attestation du tracage des machine et de votre topologie reseau faudrait peut étre plus se pencher sur le futur Pentium D qui intégre DTCP-IP en natif, qui lui est un DRM qui fait tous cela, et la technologie LaGrande ( anciennement Palladium, et NGSCS ) qui est le systéme de MS, non documenté et dont les répercutions sont totalement inconnue.

Mais bon c'est tellement plus facile de taper sans connaître sur quelque qui en court de support par le libre, qui peut augmenter la sécurité que de pointer les vrais problèmes...

Ca reste une voiture, avant que le temps de propagation du signale influe sur le comportement du systéme ils vont devoir en rajouter du métrage de cable, ou salement augmenter la vitesse de la voiture. Les échelles de temps entre un systéme destiné a une fusé, une F1, une voiture de série et un systéme pneumatique sont pas les mêmes. Les risques humains aussi.

Pour l'automobile je ne sais pas exactement par contre dans le domaine que je connais les automates industriels les tests sont très poussé et très étonnants.
Déjà la plus part des opérations sont faite en double, voir plus, il intégre des systémes de WatchDog et d'autocontroles très performants qui permettent de déclencher la sécurité cablé en cas de défaillance de l'automate. Apres les automates en questions peuvent fonctionner pendant d'une demis a une seconde sans alimentation, peuvent supporter des variations de tension assez extrémes genre 400V au lieu de 230V ( au pire on grille l'alim mais pas l'automate ) et n'ont donc pas besoin d'onduleur. Ils sont aussi protégés contre les flash UV ( cas d'un court circuit et d'un arc électrique dans l'armoire électrique ) et certains même contre les rayonnements en tous genre ( pour les applications nucléaires ). Je vous épargne les écarts thermique, l'absence de pièce mobile et la résistance aux vibrations.

C'est d'ailleur pour toutes ces raisons qu'un automate motorisé par un processeur a 16Mhz peut avoir un prix exorbitant.

Apres ce qui fait la différence entre un programme automate et un programme évolué, c'est la quasi intégralité du programme automate est réalisé en langage contacte ( ou Ladder ), le graphcet n'étant souvent d'une forme de surcouche ou de macro. Les informaticiens vont s'arracher les cheuveux apprenant cela, le programmateurs de microcontroleurs connaissent surement déjà mais le langage contacte est presque uniquement constitué de combinaison de bit et d'opération logique de base, modélisé de manière a facilité l'apprenticage par des non programmeurs sous la forme de contacte électrique et de fil qui allume une lampe correspondant a une sortie ou un bit.
De la bonne vieille logique booléenne, ou l'on travail bit par bit, ou sur des mots assez court pour faire du comptage. De plus ce mode de programmation est remarquablement adaptés aux systémes temps réel.

On a donc un nombre d'entrée finie et un nombre de sortie finie ( qui dépasse rarement la centaine correspondant généralement aux éntrée et sortie de l'automate ). Il est donc tous a fait possible de tester le programme dans un très grand nombre de configuration. De plus avec un tel mode de programmation une erreur passe rarement inaperçue ( c'est du tous ou rien, et les fonctions a testés ne sont pas innombrable ), et ce que l'on demande avant tous c'est que le systéme ce comporte bien en cas d'erreur ( gestion de la sécurité ).

On a donc un systéme robuste qui effectue des taches simple, mais qui les effectues biens et qui sait gérer les situations de défaillance, alors qu'un programme classique plus complexe ne sera pas en mesure d'apporter autant de sécurité.

En fait cela dépend enormement des choix technologique fait, par exemple les calculateurs d'injection d'abs et autre sont souvent comparables a des automates industriel dans leurs méthode de programmation donc nul besoin d'un OS. Les systémes commes VxWorks ou QNX viennent après pour d'autre fonction comme la télécommunication ou la coordinations de plusieurs organes indépendant ou des opérations temps réel complexe ( c'est une question de hiérarchie, la sécurité cablée prévot sur l'automatisé, qui prévot sur la programmée ), donc sur une voiture ils vont par exemple permettre de centralisé la commande et l'affichage de l'autoradio, du GPS, la consomation instantané ou autre, mais il y a excessivement peut de chance pour qu'il ait une influence sur l'injection, le freinage, le correcteur de trajectoire les airbags ou autre.

La différence entre un automate et un programme n'est peut étre pas très claire pour un informaticien, mais en gros un automate fonctionne et est programmer celon des méthodes très frustre qui font qu'on peut évalué son bon fonctionnement dans toutes les citations ( ce que l'on peut très difficilement faire avec un programme ).

Et moi je te parle de la diffusion du programme de rip ou passant outre les protections. Pas de la diffusion de rip eux même, la diffusion des rip étant déjà interdite.

Sauf qu'en droit français la distribution d'un contenue sur internet reléve du délit continue, donc comme cela c'est déjà vue pour lés délits de presses sur internet ( diffamation apres la période de recourt, normal pour une publication papier), continué a distribué un contenue apres que celui-ci soit devenue illégal est un autre délit, continuer a le distribué aussi etc etc ...

Donc il a de forte chance pour que tu te face allumer devant un tribunal.

GNU/Hurd L4 et E17 deviendront stable ?

Bientôt une alternative à Thunderbird (qui a décidemment du mal avec mon compte IMAP plein de sous-dossiers) ?
(d'autant plus que KMail est embusqué au tournant avec l'arrivée prochaine d'un QT GPL dans la Fenêtre)

Bonne question personnellement moi j'ai le probléme inverse, Evolution se ramasse comme une otarie bourrée a la biérre dés qu'il soit ouvrir plus d'un compte imap ou un reppertoir avec pas mal de messages ( genre 2 ans de bugtraq soit ~ 5000 mails ).

EVE a un dual-core ca ce voit a la taille de ses Heatpipe.

Pauvre Alice elle n'a toujours pas eux le temps d'acheter un Mac PPC pour remplacer son x86 ( détruit par Eve ), que ceux ci sont abendonnés par Apple, vraiment une journée de merde pour l'équipe de Apple Geeks.

Cela depant tu a des sites avec des photo libre de droit et gratuite, personnellement je m'approvisionne dans la section stock de Devinatart et en géneral les contributeurs sont assez content quand tu utilises leurs photo.