🚲 Tanguy Ortolo a écrit 12302 commentaires

Désolé, je ne comprends toujours pas. Es-tu en train de suggérer que les développeurs de Signal ont accès au code source actuel de WhatsApp et pourraient ainsi se rendre compte si Meta y ajoutent de quoi fuiter les clefs par exemple ?

Pour rappel, il n'y a aucune preuve que WhatsApp utilise actuellement ce fameux protocole historiquement utilise pour le chiffrement de bout en bout. Et même en supposant que c'est bien le cas, ce qui repose déjà sur une confiance aveugle, ça ne suffirait pas. Le chiffrement de bout en bout, ça ne sert à rien si c'est chiffré entre un interlocuteur et un MitM, ou si les conversations sont ensuite envoyées à la NSA (chiffrées de bout en bout entre le terminal et la NSA, évidemment).

Je ne sais pas d'où sort cette confiance, mais tout ce que je vois, c'est un éditeur de logiciel qui dit : vous ne pouvez pas vérifier notre code mais vous pouvez juste nous confiance, les communications sont chiffrées de bout en bout. Eh bien, en matière de sécurité, la confiance aveugle ça vaut de la merde, et c'est historiquement prouvé.

Merci pour cette définition, qui mériterait de figurer en haut de l'article.

Pour rappel, “atomique” est l’expression qui tend à remplacer celles d'“immuable” (traduction anglaise d'"immutable") ou "image-based", et qui désigne une façon bien particulière de construire et distribuer un système d’exploitation. Solène Rapenne propose une définition dans un billet de 2023, où elle résume les principes essentiels des systèmes immuables :

• les mises à jour système ne sont pas effectuées sur le système en cours d’utilisation (celui-ci n’est jamais censé changer, d’où le qualificatif d'“immuable”)
• les modifications de paquets sont appliqués au prochain démarrage (mais pas celles des Flatpak par exemple)
• vous pouvez revenir en arrière (roll back) et restaurer le système dans l’état exact où il se trouvait avant une mise à jour

Le dernière point est très intéressant, en revanche, pour les deux premiers, j'ai dû louper le moment où le fonctionnement à la Windows, où il faut redémarrer pour appliquer des mises à jour, avait commencé à être considéré un modèle.

Sérieusement, il y a des gens qui aiment ça, devoir redémarrer pour mettre à jour des logiciels ? Quel intérêt ? Relancer les logiciels concernés, évidemment. Redémarrer l'ordinateur si le logiciel concerné est le noyau, évidemment. Mais redémarrer dans tous les cas, ça ressemble à du masochisme.

C'est pas un argument du vrai écossais, ça? Si on donne des exemples de commerçants qui ne font pas d'iframe, tu peux toujours dire que c'est les "craignos".

La façon propre pour un site, ce n'est pas d'utiliser un iframe, ni de choper toi-même les informations de CB hein. Il existe une troisième voie, la bonne : rediriger, tout simplement.

Les sites spécialisés sur le commerce en ligne ont toujours leur propre interface et ne renvoient sur le site de la banque uniquement pour la validation de la transaction, et jamais pour la saisie du numéro de carte et du code de sécurité.

Et c'est de la merde, qui devrait être interdite. Je sais, rediriger, ça fait une expérience utilisateur moins bonne, mais ce n'est pas une raison, au contraire, c'est juste un caprice de designer, et les designers aux commandes de trucs de sécurités, ça se gère en les contraignant à faire des choses sérieuses.

Je n'ai pas compris, désolé.

Ah non, donner directement les infos de CB au commerçant, ce n'est pratiqué que par les commerçants les plus craignos, genre Amazon. Les sites sérieux envoient sur un intermédiaire. Qui, à son tour, va envoyer sur une page de validation de ta banque.

Toutes ces questions de sécurisation des paiements par CB sont bien amusantes dès qu'on se rend compte d'une faille béante dont tout le monde se moque : les paiements sont autorisés dans une iframe. Ou dans une application native, ça revient au même : l'utilisateur n'a aucune idée de quel est l'intermédiaire de paiement, s'il est fournie, et même si la connexion est sécurisée.

Un site marchand pourrait siphonner ainsi les infos de CB sans que ça se voie. Un phishing invisible en somme.

La règle de base avant de transmettre des informations un peu sensibles, genre numéro de CB, c'est de vérifier l'URL du site. Eh bien dans une iframe ou une application, c'est juste impossible.

Tant que ça n'est pas proprement interdit, ça continuera à me faire bien marrer, ces précautions pour la porte blindée d'un mur en papier.

Et je soutiens : toute procédure ou activité qui exige une appli mobile doit de facto proposer son alternative, sans surcout, sur ordinateur.

Pour quel système d'exploitation ? Windows, MacOS, GNU/Linux (quelle distro ?), FreeBSD ? On s'arrête où ?

Et le smartphone, on sait tous qu'il est pas vraiment à toi.. ou alors t'as pas l'appli de ta banque.

Mon téléphone est à moi, le système d'exploitation dessus est libre, je suis root, et j'utilise le logiciel de la banque. Bon, je lui cache que je suis root, mais rien de plus.

Le texte exact :

En ce qui concerne l’initiation des opérations de paiement électronique visée au paragraphe 1, point b), les États membres veillent à ce que, pour les opérations de paiement électronique à distance, les prestataires de services de paiement appliquent l’authentification forte du client comprenant des éléments qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés.

Une façon de faire serait que, côté site de paiement, la validation invite à se rendre sur l'appli ou le site de gestion bancaire (au choix), qui afficherait l'opération à valider et demanderait un TOTP (pour le site) ou autre chose (pour l'appli, vu que visiblement pour une appli bancaire, un simple code secret statique est considéré comme suffisant).

Il y a un précédent en fait : la Corée du Sud avec ActiveX sur Internet Explorer.

Ou alors, il y a le TOTP. C'est portable, c'est implémenté sur ordinateur, sur téléphone, sur ce qu'on veut, il n'y a rien à développer, c'est aussi intégrable sans difficulté dans une appli bancaire, du coup c'est certainement moins cher, c'est sûrement pour ça que les banques ne s'y mettent pas.

On peut aussi y imprimer une Vcard sous forme de QR-Code au dos. Et se rendre compte que les fonctionnalités d'import de Vcard sont très, très variables selon les téléphones.

Je sais, ce pensais à ce genre de truc, et à la situation avant ça. Face au risque de fuit de données ou d'espionnage, “rien ne prouve que nous sommes espionnés” n'est pas une attitude raisonnable.

Si on avait une preuve que la NSA a un accès direct aux communications hébergées aux États-Unis…

Pourquoi Pokémon ?

Correction, Whatsapp dit faire du chiffrement de bout en bout. La nuance est de taille.

Que ce soit chiffré, aucun doute, ça peut se vérifier. Que ce soit chiffré avec la clef de ton correspondant, c'est déjà moins vérifiable. Que la clef secrète correspondante n'ait jamais été transmise à Meta et stockée par leurs soins, c'est carrément invérifiable.

La chiffrement de bout en bout, avec un logiciel propriétaire, désolé mais c'est à considérer comme du chiffrement sans garantie aucune.

Ça c'est une pratique à ranger parmi celles qui font le plus de mal à Internet de nos jours. Concrètement, ça signifie, à l'échelle d'une population entière, à aller voir Google et à leur dire : maintenant, l'email, c'est vous.

Bien sûr que ça ne les gêne pas. Ça ne dérange déjà pas la majorité des adultes, qui ont appris depuis des dizaines d'années que les GAFAM faisaient de la merde et qui s'en moquent éperdument.

Alors, des jeunes gens, qui ont encore moins de culture informatique que leurs aînés, vous pensez bien…

Et pour le coup des annonces qui marchent, ça n'est pas incompatible avec la possibilité pour les victimes de demander à ne pas avoir de publicité ciblée. Ça marche pareil en physique : sans stop pub, je reçois des publicités dans ma BàL, sur des trucs certes potentiellement intéressants comme des restos ou des annonces immobilières. Sauf que je ne veux pas de ça, si j'ai besoin de quelque chose, je me débrouille tout seul pour trouver, je n'ai pas besoin qu'on cherche à me vendre quelque chose dont je ne suis pas conscient d'avoir besoin.

Peu me chaut que la plèbe fonctionne très bien avec de la publicité ciblée, je n'en veux pas et j'ai le droit de refuser ce genre de truc.

Il y a des gens qui veulent ça. Qui sont satisfait de se voir proposer des pubs qui correspondent (selon eux) à ce qui pourrait les intéresser.

Aucun problème. À aucun moment l'UE ne demande à qui que ce soit d'arrêter un traitement d'informations, que ce soit pour de la publicité ciblée ou pour quoi que ce soit d'autre. En revanche, il est nécessaire de demander et d'obtenir le consentement libre, spécifique, éclairé et univoque des personnes concernées.

Quelqu'un qui est content de la publicité ciblée, eh bien il va consentir, pas de problème.

Et ceux qui n'en veulent pas peuvent payer pour effacer la pub.

C'est justement ça qui est critiquable. Consentir ou payer, ça ressemble assez peu au concept de consentement libre.

Je n'ai pas dit sans pub, mais sans pub ciblée, nuance.

Il me semblait que la solution adoptée par Facebook en Union européenne, à savoir vous consentez à la publicité ciblée ou vous payez, n'était pas si conforme que ça.

À savoir, consentir ou payer, c'était discutable, en matière de validité dudit consentement. Est-ce que quelqu'un a vu passer du nouveau à ce sujet ?

Et tant qu'on parle de faire plier de grands acteurs privés, est-ce qu'Apple a obéi et permet désormais d'installer des logiciels sur iOS autrement que par l'AppStore ?

Petite question, si d'aucuns s'y connaissent assez pour y répondre : pourquoi toujours de l'eMMC plutôt qu'un port SD avec une carte mémoire déjà dedans ? Ça résoudrait au passage tous les problèmes de briquage d'ailleurs.

Ça pour le coup, j'aime autant séparer aussi. Mais il faut dire que j'ai un serveur perso qui fait assez de choses pour que cette séparation ait du sens.

Si c'est pour simplement rendre une imprimante USB accessible par réseau, ou servir des fichiers, ça se comprend.

Sans compter que le WAF d'un modem-routeur-switch est bien supérieur à celui de trois appareils avec bien plus de câbles pour connecter tout ça au courant électrique et au réseau.