KuroLightning a écrit 65 commentaires

La question adressée est intéressante pour le législateur.

Mais je place d'un point de vue plus pragmatique selon l'adage : "Pas vu, pas pris". Tu ne risques rien de la part de la Justice si tu ne t'amuses pas à le crier surtout les toits. (Surtout vu le contexte historique ici)

Si tu arrives à sortir le fichier, tu peux vérifier l'idée de Mimoza en analysant 2 points.

La première est l'entropie de ton fichier. Un fichier chiffré avec des méthodes comme AES doit avoir une entropie caractéristique d'une sortie pseudo-aléatoire puisque l'idée est de ne pas pouvoir distinguer entre une donnée chiffrée et aléatoire.

La second est de calculer la distribution associées à ton fichier (son histogramme). Un fichier vidéo non-chiffré n'aura pas une distribution proche d'une distribution uniforme. Et parfois, ça peut permettre de révéler d'énorme info sur le type de chiffrement utilisé.

#Mylife : Un bon copain avait rencontré un problème similaire quand nous étions en fac. On avait, par les deux méthodes ci-dessus peut estimer que le chiffrement était un simple xor. En procédant à un peu de tâtonnement, de réflexion et de chance, on avait pu trouver la clé et déchiffré le contenu.

Linaro, c'est pas la boîte qui travaille en partenariat avec Fujitsu pour le processeur A64FX du supercalculateur Fukagu ?

Il se passe quoi si je m'y oppose ?

Parce que c'est pas la 1er tentative, et la dernière fois leur projet (dont j'ai oublié le nom) n'avait pas marché. Atos a besoin d'argent ? (Au fait, il y a toujours Louvois au cimetière et Scribus chez Capgem [PS: Humour contre le gaspillage d'argent publique]).

Changer la loi, évidemment mais le MITM c'est quand même pas rien.

D'ailleurs en te répondant, il m'est venu à l'idée une autre possibilité "moins in-the-middle" : La fourniture d'un accès aux emails stockés en clair chez les hébergeurs.
C'est plus discret qu'un MITM (pas de risque de voir des certificats se faire blacklister par les distributions) et ça facilite le travail (Pas de stockage à l'interception, suffit de se brancher sur les serveurs de l'hébergeur…).

Tu peux l'avancement de ta copie avec la commande pv

Scanner l'ensemble des correspondances à l'heure du HTTPS reviendrait à faire du MITM. Déjà je doute de la légalité du dispositif.

Ensuite, il va falloir traiter tout le gigantesque volume de données. Sachant que l'Europe a déjà du mal à se coordonner sur d'autres sujets (comme l'Ukraine), j'ai énormément de mal à voir les pays (certains risquent de ne pas être pour) réussir à se mettre d'accord sur ces points de coopération sans en faire une énorme machine à gaz administrative, politique et le pognon de dingue que ça coûter.

Rajoutons à ça que Google et Apple hébergent une grande majorité de nos emails, je ne suis pas forcément sûr qu'ils apprécient cette idée car 1. ça pourrait permettre de voir émerger un concurrent européen sur le profilage publicitaire 2. Les citoyens pourraient se protéger (chiffrement) et rendre inopérant le profilage de la NSA Google (ou Apple).

Ensuite, à l'heure des messageries comme What's App, Signal et co, est-ce que vraiment utile ? Un pied dans la porte, je vous dis. Qui envoie des mails autre que pour contacter les services/entreprises et administration ? Le reste des discussions se fait sur des messageries privées ou des appli comme FB. Et là, ça ne marchera pas du tout.
Donc soit les gens qui poussent cette idée au sein de l'UE (si Macron est dedans, je suis même pas surpris vu les lacunes du bonhomme en matière de numérique) utilisent la pédophilie (comme le terrorisme) comme vecteur d'intention dans un but inavoué (Ose me démontrer que ces réseaux utilisent du mail en clair sans HTTPS !) pour faire un joli pied dans la porte.
Mais clairement ce n'est pas pour lutter contre la pédo. Si c'était le cas, les magouilles d'Epstein aurait déjà été torpillé avant même que ça puisse devenir aussi "lucratif". (Et bizarrement, moi du bas-peuple je n'ai jamais pu me rendre sur ces îles… Je dois pas être assez 1. royal, 2. politiquement influent 3. riche 4.[Ajouter une mention utile]). Et je doute que le but soit de permettre au peuple EU de "flinguer" ses dirigeants qui tremperait dans ce genre de magouille et consort.
En somme, qui sont les gugus qui poussent le projet au niveau de l'EU et quels sont leur véritable intention ?

Et pour en revenir au titre de ma réponse : Il est venu l'heure d'utiliser GPG dans ses emails et de l'ajouter pleinement dans son hygiène de vie numérique. Reste à expliquer ça aux Michus. (Note, vu leur propension à utiliser What's App, ils ont finalement un temps d'avance… pour une fois).

Sinon, connaissez-vous DeltaChat ?

Just DO IT !

Bonjour,

Tout d'abord merci pour ce journal et un grand bravo pour le projet. Super intéressant ! Je me joins au 1er commentaire.

Pour ma part, j'ai été confronté à ce genre de problèmes dans des conditions semblables (projets de recherche, milieu scientifique, différents profils techno-scientifiques…). En somme, j'étais chez les "numériciens" et nous avions un code de simulation de propagation d'ondes radios dans des plasmas avec ~ 50 paramètres pour gérer les simulations. Certains sont liés à la physique (rayon de la Terre, nature du sol, du plasma…) d'autres aux numériques (méthode d'interpolation, choix du solveur matriciel…) et aux hardware (archi cpu, nombres de coeurs, taille des caches…). Tout comme vous, ce code devait être utilisé par des expérimentateurs voir des théoriciens. Bref, des gens qui ne sont pas toujours à l'aise avec ce genre d'outils. Afin de réduire le nombre d'appels à l'aide pour le réglage du modèle avant simulation (surtout les questions numériques et hardware), un stagiaire (talentueux) avait développé un outils similaire (avec des technos web) pour faciliter la création du fichier de conf.

Ainsi, nous nous étions amusé à récupérer toute les fichiers de configurations produits ainsi que les critères de performance de sortis du code (basé sur le temps de calcul de certaines routines, la consommation mémoire, cpu…) afin de produire une IA (c'est que l'on dira en start-up Licorne nation)[Mais entre nous un pauvre modèle à apprentissage supervisé] dont le but était de faire DAO pour nos collègues. Ainsi, ils leur suffisait d'indiquer certaines options pourvoir les prédictions des performances, ou à l'inverse, de demander tel performance pour obtenir une configuration adapté. Si au début de l’essai, ce ne fut pas superbe. Au bout de quelques semaines d'utilisation l'outil était devenu indispensable et énormément appréciée, en plus de s'améliorer avec le temps. Et bien évidemment, les sollicitations étaient relatifs aux modèles plus qu'à son utilisation.

Si ça peut-être utile d'une quelconque façon… Mes 2 cents.

Ok, merci pour ton retour.

LUKS n'est appliqué que sur le disque dur en lui-même. Chez l’hébergeur, j'applique une autre stratégie. Évidemment que je sais que le "provider" peut intercepter la connexion. L'hébergeur n'est sert qu'à faire une sauvegarde.

L'employeur peut bien me virer (genre on peut vraiment faire comme au US en France ?), il aura gagné un disque dur dont le contenu sera inaccessible. Grand bien lui fasse.

Déjà testé depuis l'étranger ! Pas de soucis de ce coté là ;)

Le boulot est à 20km de chez moi mais c'est pas pour autant que je me permettrais d'y déposer quoi que ce soit de perso.

Je comprends très bien de ne pas déposer des documents papiers, mais un disque dur chiffré je vois pas trop le problème (sauf si tu bosses dans une société "militaire" ou similaire avec besoin d'habilitation aux secrets). Tu peux m'expliquer ?

L'avantage selon moi, c'est que la probabilité d'un cambriolage est bien plus faible dans une boîte que chez toi. En outre, le disque est intégralement chiffré. Donc même s'il est "intercepté", il ne sera pas un problème. Rajoute que j'utilise du LUKS, Windows ou Mac est bien incapable de lire ceci et par conséquent il est facile à formater. Et en cas de "compromission", tu peux le "nuker".

A titre perso (et pro), j'applique les procédures suivantes :

Pour le pro, je fais une sauvegarde 1 fois par semaine off-line sur un disque dur de grandes capacités. Et 2 sauvegardes dans la semaine sur un NAS. Le disque dur et le NAS se trouvant sur le lieu de travail. La sauvegarde hors-site est géré par moi-même (i.e., un disque dur que j'emporte au boulot et que je remporte chez moi).
Ainsi, la sauvegarde hors-site me permet d'être résilient en cas de cambriolage au boulot (très peu probable) ou d'une destruction (incendie, inondation, foudre, invasion…). Les deux autres sur site permettent de récupérer les données les plus récentes.

Pour le perso, un disque dur chez moi et l'autre au boulot en alternant toutes les semaines. La sauvegarde hors-site est réalisé sur mon propre VPS. Le stockage hors-site permet de s'assurer qu'en cas de cambriolage ou d'incendie (par exemple), je puisse récupérer très rapidement des données importantes (assurances, papiers officiels…). Le disque au boulot permet de pallier éventuellement à un problème d'accès à Internet.

Au final, la probabilité que mon logement soit "détruit" (incendié, cambriolé) sachant que soit mon VPS à flamber ou que ma boîte a été "détruite" est véritablement très faible. Et même par sur que ça arrive dans une vie humaine.

Bien évidemment, toute les données sont chiffrées soit avec une phrase de passe (cas des sauvegardes locales et hors-ligne) ou avec un fichier de passe (disque dur pro chez moi et disque perso à mon boulot). Un duplicata des clés est également stockés et chiffré sur mon VPS via un OTP (dont une copie se trouve chez mes parents).

Je me demande si c'est pas un peu exagéré.

Merci ;)

Ton raisonnement marche également pour le vélo. Le truc, c'est pas le ski ou le vélo ici. (Il s'est pas fait empalé par un ski). Il est mort parce qu'il n'a protégé sa boite crânienne.

Comme pour un accident de vélo, si tu as un casque tu peux te faire sacrément mal à la tête, mais c'est un évènement très rare. Alors que sans casque, si tu te prends une bonne gamelle, ça peut-être la dernière.

Ici, c'est la même chose.

J'ai bien vu ceci. Mais j'ai pas été très explicite.

Je veux dire comment une chute à ski peut-être fatale ? A moins de faire du hors-piste comme un pilote de F1 ou de se sauter dans le vide, crevasse (ce qui normalement n'arrive pas sur un chemin balisé), je vois pas trop comment, avec un équipement normal de ski (ski, chaussure adapté, casque…), tu peux en mourir. (Un coup de Kira peut-être ?)

A la différence pour les frères Bogdanov, je n'ai vu la cause du décès reporté dans le journal. On sait de quoi il est mort ? Overdose, maladie, accident … Covid ?

Ok, merci.

J'ai fais circuler l'annonce dans mon réseau. (Connaissance d'astrophysiciens ayant fait de l'interférométrie avec les pulsars durant leur thèse).

Je plussoie. Limiter à BAC +5 en info c'est se priver de jeunes docteurs (souvent plus motivés après leur désillusion avec la recherche) et l'interférométrie c'est assez basique quand tu as fait de l'astrophysique. (Les pulsars sont de bons amis).

Petite question en direction de la personne qui a lancé l'offre : Il n'est pas mentionné l'utilisation de GPU pour réaliser les calculs. Est-ce prévu ou non ?

_ Il me semble important de rappeler que c'est un devoir civique pour le fonctionnaire que de persévérer tant qu'il le peut dans son service, en cherchant à pallier les dysfonctionnements._

ça c'est la théorie ! La pratique, c'est que même quand tu tentes de pallier, l'administration t'en rajoute une couche avec une immondice de conneries issus d'esprits d'incompétent (tu as de la chance) ou de pervers narcissiques en manque de reconnaissance.
J'ai expérimenté la joie du service publique (Recherche, tu sais le truc que les gouvernements n'ont jamais compris [En même temps, c'est pas comme si Science Po ou l'ENA donnait de vrais diplôme], mais qui pourtant leur a semblé utile lors d'une certaine pandémie ou pour pallier les lacunes des entreprises en R&D) et je peux t'assurer que le nombre aberrations qui font 1. perdre de l'argent aux contribuables 2. Du temps aux personnels de recherches (du stagiaire motivé aux professeurs en passant par la force vive (doctorants et post-docs) et les ingés) 3. Un casse-tête sans nom pour le personnel administratif en bout de chaîne qui doit gérer l'Administration et la colère des usagers qui viennent se défouler dans leur bureau. sont légions. Et ça, c'est pas quand les histoires de marchés t'obligent à payer ton matériel 4 fois sa valeur avec une offre datant du néolithique. (Je pense à l'achat de machine de calculs x86-64).

Alors oui, il faut faire un effort et essayer de faire fonctionner le truc. Mais quand le système est plus nécrosé qu'un membre gangrené par l'incompétence et le je-men-foutisme et que son "système nerveux" est sclérosé, je pense que la meilleur chose à faire et de quitter le navire. Car personne ne viendra s'occuper de toi si tu y laisses ta santé pour tenter de remettre à flot ce bordel. Et c'est oublié que l'inertie d'un système est proportionnel à sa masse…

Note : Ce que vit la Recherche est très similaire à ce que vivent la Santé, l'Education et probablement la Justice (même si leur ministre donne l'impression d'agir).

En plus de ce qui est fait classiquement pour protéger un SSH, j'ai noté qu'exiger les dernières normes de crypto (DH, AES-GCM-256, CHACHA….) sur le serveur lors de la connexion, défait plus de 99% des tentatives de connexions. (Essai réalisé sur un serveur SSH sur le port 22 ouvert aux 4 vents pendant 3 jours).

Mes deux cents.

Oui mais la Chine s'en fout royalement des licences ! Et ça va être difficile de faire valoir ces droits (déjà qu'avec les US ça ne serait pas facile, mais alors avec la Chine…).

Donc, l'idéal est d'aller lire le code pour essayer d'en comprendre les maths derrière. Voir de chercher dans la littérature avec comme mot-clés le nom des effets ou filtres.

Merci.

En fait, la réduction des capacités de filtrages sont liées au fait qui c'est très facile actuellement sur FF ou autres navigateurs car il suffit à l'heure actuelle d'installer un add-ons. Par de magie noire (aka CLI), juste du bon vieux click ergonomique et accessible à tout le monde.

En faisant en sorte de réduire cette facilité, Google déplace la contre-mesure de l'add-on anti-pub vers le DNS (menteur, Pi Hole…). Et là, tout de suite tu écartes plus de 95% de ta population d'utilisateur. Entre la configuration qui nécessite de savoir de quoi on parle (Michu connait les Pages Jaunes mais pas le DNS), de configurer du réseau (Pi Hole), voir d'éditer du fichier host et surtout de faire en sorte, que quand tu ne vis pas seul, Madame et les petits ne te sautent pas la gorge car tu as coupé "accidentellement" certaines connexions. Bref, c'est tout de suite plus compliqué et à ça ajoute de nombreuses contraintes.

En fait, si Google réussit son coup. La grande majorité des utilisateurs de Chrome se boufferont à nouveau de la pub. (Qui va jouer avec le DNS ? Qui va s'embêter à faire de la veille techno. sur les add-ons anti-pub pour Chrome ? …). C'est le jeu du chat et de la souris.