tu peux utiliser duckduckgo.com (disponible a l'URL t.co/duckduckgo.com ;) .
Il donne toutes les redirections successives jusqu'à l'URL finale.
C'est très pratique.
Grosso modo, la requête DNS va vers le serveur le plus proche. Proche dans le sens d'internet, c'est à dire soit le moins de hop, soit une route privilégiée.
Yep, bonne chance les gars. Je sais qu'en remote, on a toujours un petit coup de chaud lors du reboot qui suit l'upgrade, et que le temps se fait vitre très long lorsque le prompt ssh ne réapparait pas…
J'ai testé pour vous… Avec une machine qui avait gardé en fin de boot un script DHCP sur eth0. Et au reboot, tout se passe bien, la conn ssh monte, puis disparait! Avec une machine à +de 300km… Et toutes les hypothèses qui passent depuis le crash disque jusqu'à la coupure de courant. In fine, un nmap depuis une autre machine du même LAN m'a permis de comprendre, mais le tee shirt à été mouillé :)
Le problème avec systemd, c'est que cela t'impose un gros changement, sur un composant plutôt immuable (l'init) alors que tu ne t'es jamais vraiment posé de question à ce sujet.
L'init, c'est simple, ça marche, ça a un fichier de conf (inittab) et pleins de petits rc. Sous slackware, la lecture (et la compréhension) de l'init complet du système prend moins d'une heure et c'est très bien. (bon, sous redhat/debian c'est quelque fois un peu spaghetti, mais on s'en sort).
Tout ça est joyeusement hackable car après tout ce n'est que du shell, tu peux paralléliser comme bon te semble, genre: "appel à script & " etc.. et tu peux gruiker/coder/modifier tout ce que tu veux, comme par exemple détecter via bluetooth ton smartphone pour t'autologger lorsque tu est devant la machine :)
On se fait plaisir, on utilise des outils classiques comme vi/grep/sed/awk pour administrer la machine et c'est joyeux.
Puis viens systemd qui dit que l'init c'est tout pourri, genre: il est impossible de lire les lignes 110 à 138 du fichier de log facilement, et il n'y a pas de parrallélisation etc, etc, etc.. On va donc tout changer, mettre 80 binaires qui font tout et ça sera mieux. Vous n'êtes pas d'accord? Vous n'êtes que des rétrogrades rétifs au changement qui ne méritez que de mourir et de toute façon pour ces résidus du passé j'ai mis des passerelles vers les vieux systèmes obsolètes. Bon. Ok. Pourquoi pas. Lorsqu'un linuxien saute sur un windowsien en lui disant que son système c'est de la merde et que linux saytrogénial vazy change, le windowsien a toujours un mouvement de recul. Je crois que c'est la même chose avec systemd.
D'un système qui se hackait au script shell, on passe à un système tout intégré beaucoup plus statique. Je lisais l'histoire d'un gars qui voulait modifier la manière dont on entrait le mot de passe de la partition chiffrée au démarrage. Solution: patche le bon morceau de systemd et fait accepter ton patch. Avant, il suffisait de trois lignes en shell. Aujourd'hui, bah tu laisses tomber (pas le temps de le faire, de tout recompiler basta).
Il y avait un post de Lennart qui expliquait les raisons de tout changer. Ce post, que j'ai lu, ne m'a jamais vraiment convaincu. Donc, pourquoi tout changer? Sauf qu'aujourd'hui, le passage à systemd se fait à marche forcée et l'obligation commence à m'ennuyer. Je crois que je vais créer un commpte sur http://bsdfr.org :)
Le Google play store, ça devient du n'importe quoi. 25000000 d'applis peut être, mais 50000 clones de flappy bird, 17000 versions de VLC, 157000 client ssh, au bout d'un moment, on ne sait pas lesquels choisir. Allez, deux exemples.
Play Store Google, cherchez doom. Choisissez PrDoom et affichez la liste des autorisations demandées: je crois qu'il y a tout, même envoyer des SMS, lire les SMS, modifiez les raccourcis, etc… Doom sur F-droid, rien de tout ça.
Un autre? GLTron. Sur Play store, il vient avec un bandeau de pub. Sur fdroid, rien \o/
Bref, f-droid, c'est bon, mangez en, et merci à tout ceux qui font ce boulot :)
Certes. Tu peux peut-être en dire un peu plus? Des dévs d'OS, il y en pleins, des OS, il y en a je ne sais pas combien au monde que l'annonce d'un nouvel OS ne m'emballe pas plus que ça.
Par contre des OS conçus pour résister à des 0day ça ne court pas les rues, et ça c'est super intéressant. Mais dans la dépêche, rien ne vient étayer cette affirmation.
Un gars dont je lisais le blog avait tweeté: "Les gens ne bloguent plus, ils tweetent" et c'est malheureusement vrai.
Dans mon feed RSS, je dois avoir 130 flux. Sur ces flux, une trentaine de flux de communication d'entreprise, et une centaine de flux de blogueurs. Sur la centaine, je remarque une très forte tendance depuis 3-4 ans qui est l'abandon pur et simple du blog.
Avant, ils prenaient le temps de bloguer, là, ils glissent des URL avec un commentaire genre "C'est très bien" ou "c'est nul", ou le meilleur "J'ai pas lu, mais ça a l'air bien".
Twitter m'a permis de découvrir de nouveaux comptes à suivre, mais je crois que l'usage est complètement différent. RSS pour les quelques rares sites qui bloggent encore, les sites d'actus comme linuxfr bah je vais dessus, pas besoin de s'abonner à quoi que ce soit, et pour les autres sources d'infos il y a twitter.
Je trouve que twitter appauvrit beaucoup la qualité des échanges, le but est de twitter ou de retwitter le premier l'info brûlante et c'est à peu près tout.
Tu donnes 5 machines à un groupe d'étudiants, 5 autres à un autre groupe, et toi tu monitores.
Les machines sont livrées "en l'état" (une damn vulnerable linux, gniark), et les étudiants doivent fournir le meilleur service possible (mail, HTTP, disponibilité, file download/upload, etc..).
Le jour du grand final (par exemple au bout d'une semaine), tu leur dis que le switch est éteint à 16h précise, et que le plus grand nombre de personnes ayant un shell root sur le max de machines ont le plus de points.
Ca permet d'apprendre pleins de choses aux étudiants sans se risquer sur le grand "ternet"
Non. elles ne sont mêmes pas utilisées du tout. Une CRL de verisign, c'est 1.2Mo http://crl.verisign.com/SVRSecureG3.crl et c'est loin d'être la plus grosse.
Imagines tu sérieusement télécharger 1.2Mo à chaque clic sur un lien d'un site dont le certif est signé par Verisign?
Donc pas de CRL utilisées par les navigateurs. Il y a eu des tentatives avec OCSP mais c'est désactivé par défaut. Pour les cas de compromissions les plus graves, les certifs frauduleux connus sont mis en dur dans les navigateurs.
En conclusion: SSL dans les navigateurs, ça sent pas bon dès qu'on creuse un peu et qu'on oublie le discours marketing "faites nous confiaaaaaance"
J'utilise une méthode plus simple: j'ai un firefox pour une catégorie de sites, un Chrome pour d'autres (en fait que les services google) et souvent je lance un seamonkey pour encore d'autre sites.
Là, l'isolation est parfaite, et c'est en plus très visuel. Je ne vais pas ouvrir un gmail depuis firefox.
Même pas toujours. Il y a des démos ou en connaissant seulement le volume de données échangées et le site distant on est capable de savoir ce que tu consultes. Ca avait été fait avec wikipedia et maps.google.com il me semble.
Vous en avez beaucoup des machines sur réseau isolé équipées d'enceinte sonores ? Et en vue directe à moins de 2 m sans obstacle d'autres machines sur réseau non isolé équipées de microphones ?
Je cite ce que j'ai lu dans un commentaire: Oui, ça se fait, et tu as un bon exemple avec Bruce Schneier qui explique prendre un laptop jamais connecté à internet pour étudier les documents de Snowden. Probabilité très élevée qu'elle soit dans le même bureau que sa machine principale et qu'il a envoyé des documents avec une clé USB au moins une fois dessus.
Les webcams; c'est plus rare, sur poste fixe et laptops.
Pour la proximité des choses et des ordinateurs, je rappelle que le virus Flame détectait la présence des cartes bluetooth pour sniffer comme un goret tout ce qui passait à proximité.
J'aime bien cet article, mais il y a des imprécisions qui me font dresser les cheveux sur la tête. C'est la même chose que lorsque certaines personnes disent linux au lieu de GNU/linux, ou web au lieu d'internet :)
L’établissement du tunnel et la preuve d’authenticité des entités est effectuée grâce à la cryptographie asymétrique (Diffie-Hellman
Difie-Hellman ne donne aucune garantie sur l'authentification.
C’est une authenticité à sens unique, puisque le site web ne vérifie pas la votre (soit il s'en fiche, soit il s'y prend autrement, par exemple à l'aide d'un couple login/mot de passe).
Wut? Le site web à le droit de demander un certificat au client, signé lui aussi par une CA. Le mécanisme est le même: le client authentifie le site web par son certificat, puis le site web authentifie le client par son certificat. Les impôts français ont utilisés un temps ce système.
Si la clé privée d’une autorité est compromise, un attaquant devient capable de fabriquer des certificats valides pour le site web de son choix.
En fait, même une sous-CA est suffisante. Il suffit que ton certificat possède les bits qui vont bien.
il est tout à fait probable que la NSA soit un jour venue toquer à la porte de VeriSign, demandant « Filez-nous votre clé privée, ou alors on ferme votre boîte »
Ou plus simplement, signez nous un certificat qui nous donne tous les droits, y compris ceux de signature de certificats. Mais ceci dit, il est hautement probable que la NSA ait les clés de ce genre de sociétés.
Si l'on a la preuve aujourd'hui que la NSA a bel et bien du matériel d'écoute sur les gros noeuds de fibre optique des Etats-Unis, on ne sait toujours pas si elle a effectivement en sa possession les fameuses clés privées des autorités de certification.
Mouais, sauf qu'apparemment, la NSA casse du RC4 tous les jours au petit déjeuner, donc dans la majeure partie des cas, il est inutile de casser quoi que ce soit. Tu écoutes, tu déchiffres à la volée (ou presque), tu stockes, puis tu datamines.
Tout ce qu’il vous garantit, c’est que c’est bien avec lui que vous communiquez et qu’il n’y a pas de tier capable d’intercepter votre communication.
Même plus :) La seule chose que garantit le cadenas, c'est que le contenu entre ta machine et le serveur est chiffré. Il ne garantit finalement plus l'authenticité du site web (est-ce google, un serveur que la NSA a maquillé comme étant google, ou autre chose?) et il ne garantit pas que des tiers peuvent lire la communication (soit par un MiTM de la NSA, soit car le chiffrement est cassable, soit que le site web utilise mal SSL et que le site doive donner sa clé privée, permettant le déchiffrement des échanges). Et je passe sur les autres problèmes de la crypto, genre Dual EC DRBG qui cassent eux aussi toute la crypto.
De manière plus pragamtique, si tu utilises Truecrypt, on peux te taper jusqu'a ce que tu fournisses 2 mots de passe. Si par malheur, tu n'as jamais utilisé la partition cachée, alors tu endures des coups de marteaux éternellement. Du coup, j'ai lu (mais j'ai perdu l'article ^ ) que des gens conseillent de mettre toujours une seconde partition cachée, de petite taille, avec un mot de passe trivial. Au moins, 2 mots de passes existent et les coups de marteaux cessent.
Il faut un accès physique pour désactiver SecureBoot
Bah oui, mais c'est le principal (unique?) avantage de secure boot.
Scénario (avant secure boot):
tu laisses ton portable éteint sans surveillance. Un gars vient, utilise un liveCD, monte le disque et lit toutes les données. La solution, c'est le chiffrement de disque!
Mais un attaquant peut venir sur ton portable sans surveillance, monter la partition /boot (qui est forcément en clair) et modifier ton noyau/initrd par un autre vérolé qui keylogge ton mot de passe. Il attend que tu te relogues, et il va récupérer une deuxième fois ton portable et hop les données.
Solution: SecureBoot, avec la machine qui va refuser de booter un kernel autre que celui signé. Donc, c'est génial car cela évite ce problème.
Mais si l'attaquant peut venir, désactiver secure boot, et mettre son noyau pourri, alors l'interêt de secureboot est réduit du coup.
[^] # Re: Defective by design
Posté par octane . En réponse au journal Chaque fois qu'un raccourcisseur d'URLs est utilisé, Dieu tue un châton. Évalué à 7.
tu peux utiliser duckduckgo.com (disponible a l'URL t.co/duckduckgo.com ;) .
Il donne toutes les redirections successives jusqu'à l'URL finale.
C'est très pratique.
[^] # Re: J'ai buggé sur une chose...
Posté par octane . En réponse à la dépêche Service de stockage en ligne libre et respectueux de la vie privée en financement participatif. Évalué à 3.
Tu as oublié le corollaire du point 2., une petite notule:
2.1./ Renouveler TCP/IP par un protocole plus efficace et performant.
[^] # Re: Réponse: oui, ça l'est
Posté par octane . En réponse au journal DNS remplacé par GPS ?. Évalué à 3.
D'un autre côté, c'est pas comme s'il existait anycast DNS:
http://fr.wikipedia.org/wiki/Anycast
Grosso modo, la requête DNS va vers le serveur le plus proche. Proche dans le sens d'internet, c'est à dire soit le moins de hop, soit une route privilégiée.
[^] # Re: Un petit mot
Posté par octane . En réponse à la dépêche Mise à jour du serveur principal gruik de LinuxFr.org. Évalué à 8.
Yep, bonne chance les gars. Je sais qu'en remote, on a toujours un petit coup de chaud lors du reboot qui suit l'upgrade, et que le temps se fait vitre très long lorsque le prompt ssh ne réapparait pas…
J'ai testé pour vous… Avec une machine qui avait gardé en fin de boot un script DHCP sur eth0. Et au reboot, tout se passe bien, la conn ssh monte, puis disparait! Avec une machine à +de 300km… Et toutes les hypothèses qui passent depuis le crash disque jusqu'à la coupure de courant. In fine, un nmap depuis une autre machine du même LAN m'a permis de comprendre, mais le tee shirt à été mouillé :)
[^] # Re: If it works, don't fix it.
Posté par octane . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 10.
Et voilà. On ose critiquer systemd et on se fait traiter de rétrograde :)
# If it works, don't fix it.
Posté par octane . En réponse au journal Chronique des dinosaures rétrogrades. Évalué à 7.
Le problème avec systemd, c'est que cela t'impose un gros changement, sur un composant plutôt immuable (l'init) alors que tu ne t'es jamais vraiment posé de question à ce sujet.
L'init, c'est simple, ça marche, ça a un fichier de conf (inittab) et pleins de petits rc. Sous slackware, la lecture (et la compréhension) de l'init complet du système prend moins d'une heure et c'est très bien. (bon, sous redhat/debian c'est quelque fois un peu spaghetti, mais on s'en sort).
Tout ça est joyeusement hackable car après tout ce n'est que du shell, tu peux paralléliser comme bon te semble, genre: "appel à script & " etc.. et tu peux gruiker/coder/modifier tout ce que tu veux, comme par exemple détecter via bluetooth ton smartphone pour t'autologger lorsque tu est devant la machine :)
On se fait plaisir, on utilise des outils classiques comme vi/grep/sed/awk pour administrer la machine et c'est joyeux.
Puis viens systemd qui dit que l'init c'est tout pourri, genre: il est impossible de lire les lignes 110 à 138 du fichier de log facilement, et il n'y a pas de parrallélisation etc, etc, etc.. On va donc tout changer, mettre 80 binaires qui font tout et ça sera mieux. Vous n'êtes pas d'accord? Vous n'êtes que des rétrogrades rétifs au changement qui ne méritez que de mourir et de toute façon pour ces résidus du passé j'ai mis des passerelles vers les vieux systèmes obsolètes. Bon. Ok. Pourquoi pas. Lorsqu'un linuxien saute sur un windowsien en lui disant que son système c'est de la merde et que linux saytrogénial vazy change, le windowsien a toujours un mouvement de recul. Je crois que c'est la même chose avec systemd.
D'un système qui se hackait au script shell, on passe à un système tout intégré beaucoup plus statique. Je lisais l'histoire d'un gars qui voulait modifier la manière dont on entrait le mot de passe de la partition chiffrée au démarrage. Solution: patche le bon morceau de systemd et fait accepter ton patch. Avant, il suffisait de trois lignes en shell. Aujourd'hui, bah tu laisses tomber (pas le temps de le faire, de tout recompiler basta).
Il y avait un post de Lennart qui expliquait les raisons de tout changer. Ce post, que j'ai lu, ne m'a jamais vraiment convaincu. Donc, pourquoi tout changer? Sauf qu'aujourd'hui, le passage à systemd se fait à marche forcée et l'obligation commence à m'ennuyer. Je crois que je vais créer un commpte sur http://bsdfr.org :)
[^] # Re: des éléments de réponse ?
Posté par octane . En réponse au journal Modèle économique dans les jeux libres. Évalué à 3.
juste pour une idée, tu peux donner des chiffres, ou des stats? Ou bien, c'est des trucs sous NDA?
# openopenssl
Posté par octane . En réponse au journal journal bookmark : vers un fork d'OpenSSL ?. Évalué à 10.
Ils ont dit: SSH, ça va pas, on va faire openssh
smtpd, non, ça va pas, on va faire opensmtpd
et si openssl va pas, ils vont appeler ça openopenSSL?
# Apparemment, c'était connu
Posté par octane . En réponse au journal Heartbleed : petit best of des journalistes. Évalué à 4.
https://www.eff.org/deeplinks/2014/04/wild-heart-were-intelligence-agencies-using-heartbleed-november-2013
# vive f-droid
Posté par octane . En réponse à la dépêche Plus de 1000 applications dans F-Droid !. Évalué à 10.
Wé \o/
Le Google play store, ça devient du n'importe quoi. 25000000 d'applis peut être, mais 50000 clones de flappy bird, 17000 versions de VLC, 157000 client ssh, au bout d'un moment, on ne sait pas lesquels choisir. Allez, deux exemples.
Play Store Google, cherchez doom. Choisissez PrDoom et affichez la liste des autorisations demandées: je crois qu'il y a tout, même envoyer des SMS, lire les SMS, modifiez les raccourcis, etc… Doom sur F-droid, rien de tout ça.
Un autre? GLTron. Sur Play store, il vient avec un bandeau de pub. Sur fdroid, rien \o/
Bref, f-droid, c'est bon, mangez en, et merci à tout ceux qui font ce boulot :)
# 0 day
Posté par octane . En réponse au journal Annonce : Manux 0.0.4. Évalué à 10.
Certes. Tu peux peut-être en dire un peu plus? Des dévs d'OS, il y en pleins, des OS, il y en a je ne sais pas combien au monde que l'annonce d'un nouvel OS ne m'emballe pas plus que ça.
Par contre des OS conçus pour résister à des 0day ça ne court pas les rues, et ça c'est super intéressant. Mais dans la dépêche, rien ne vient étayer cette affirmation.
# Les gens ne bloguent plus, ils tweetent
Posté par octane . En réponse au journal Twitter vs RSS/ATOM pour suivre un site. Évalué à 5.
Un gars dont je lisais le blog avait tweeté: "Les gens ne bloguent plus, ils tweetent" et c'est malheureusement vrai.
Dans mon feed RSS, je dois avoir 130 flux. Sur ces flux, une trentaine de flux de communication d'entreprise, et une centaine de flux de blogueurs. Sur la centaine, je remarque une très forte tendance depuis 3-4 ans qui est l'abandon pur et simple du blog.
Avant, ils prenaient le temps de bloguer, là, ils glissent des URL avec un commentaire genre "C'est très bien" ou "c'est nul", ou le meilleur "J'ai pas lu, mais ça a l'air bien".
Twitter m'a permis de découvrir de nouveaux comptes à suivre, mais je crois que l'usage est complètement différent. RSS pour les quelques rares sites qui bloggent encore, les sites d'actus comme linuxfr bah je vais dessus, pas besoin de s'abonner à quoi que ce soit, et pour les autres sources d'infos il y a twitter.
Je trouve que twitter appauvrit beaucoup la qualité des échanges, le but est de twitter ou de retwitter le premier l'info brûlante et c'est à peu près tout.
[^] # Re: Contexte
Posté par octane . En réponse au journal Firefox va afficher de la publicité. Évalué à 10.
Voilà. On laisse entrer le loup dans la bergerie pour la nuit en disant que tout se passera bien. Le lendemain…
# Et une bonne rootwar?
Posté par octane . En réponse au journal Développer un laboratoire de système et réseaux géré par les étudiants. Évalué à 6.
Tu donnes 5 machines à un groupe d'étudiants, 5 autres à un autre groupe, et toi tu monitores.
Les machines sont livrées "en l'état" (une damn vulnerable linux, gniark), et les étudiants doivent fournir le meilleur service possible (mail, HTTP, disponibilité, file download/upload, etc..).
Le jour du grand final (par exemple au bout d'une semaine), tu leur dis que le switch est éteint à 16h précise, et que le plus grand nombre de personnes ayant un shell root sur le max de machines ont le plus de points.
Ca permet d'apprendre pleins de choses aux étudiants sans se risquer sur le grand "ternet"
[^] # Re: Résistance au changement…
Posté par octane . En réponse au journal GnuPG peut encore avoir plus de sous. Évalué à 3.
Non. elles ne sont mêmes pas utilisées du tout. Une CRL de verisign, c'est 1.2Mo
http://crl.verisign.com/SVRSecureG3.crl et c'est loin d'être la plus grosse.
Imagines tu sérieusement télécharger 1.2Mo à chaque clic sur un lien d'un site dont le certif est signé par Verisign?
Donc pas de CRL utilisées par les navigateurs. Il y a eu des tentatives avec OCSP mais c'est désactivé par défaut. Pour les cas de compromissions les plus graves, les certifs frauduleux connus sont mis en dur dans les navigateurs.
En conclusion: SSL dans les navigateurs, ça sent pas bon dès qu'on creuse un peu et qu'on oublie le discours marketing "faites nous confiaaaaaance"
# Et le multinavigateur?
Posté par octane . En réponse au journal Anonymat avec Firefox : multi-profils. Évalué à 3.
J'utilise une méthode plus simple: j'ai un firefox pour une catégorie de sites, un Chrome pour d'autres (en fait que les services google) et souvent je lance un seamonkey pour encore d'autre sites.
Là, l'isolation est parfaite, et c'est en plus très visuel. Je ne vais pas ouvrir un gmail depuis firefox.
[^] # Re: HTTPS
Posté par octane . En réponse à la dépêche Du chiffrement et de la sécurité sur LinuxFr.org (statut au 24/11/2013). Évalué à 3.
Merci d'ailleurs, j'ai eu le cas dans une entreprise. linuxfr en https bloqué pour cause de certificat. Bah je moulais en http du coup.
[^] # Re: HTTPS
Posté par octane . En réponse à la dépêche Du chiffrement et de la sécurité sur LinuxFr.org (statut au 24/11/2013). Évalué à 2.
Même pas toujours. Il y a des démos ou en connaissant seulement le volume de données échangées et le site distant on est capable de savoir ce que tu consultes. Ca avait été fait avec wikipedia et maps.google.com il me semble.
[^] # Re: I love you
Posté par octane . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 3.
Je cite ce que j'ai lu dans un commentaire: Oui, ça se fait, et tu as un bon exemple avec Bruce Schneier qui explique prendre un laptop jamais connecté à internet pour étudier les documents de Snowden. Probabilité très élevée qu'elle soit dans le même bureau que sa machine principale et qu'il a envoyé des documents avec une clé USB au moins une fois dessus.
Les webcams; c'est plus rare, sur poste fixe et laptops.
Pour la proximité des choses et des ordinateurs, je rappelle que le virus Flame détectait la présence des cartes bluetooth pour sniffer comme un goret tout ce qui passait à proximité.
[^] # Re: Sinusoïde ?
Posté par octane . En réponse au journal sauter l'airgap avec des ultrasons. Évalué à 3.
Il y avait ça aussi qui est une bonne méthode. Testé et approuvé. http://holmes.meklu.org/static/highfreq/
# Un article qui me fait dire "WTF"
Posté par octane . En réponse au journal Scandale de la NSA et cryptographie, le vrai du faux. Évalué à 3.
J'aime bien cet article, mais il y a des imprécisions qui me font dresser les cheveux sur la tête. C'est la même chose que lorsque certaines personnes disent linux au lieu de GNU/linux, ou web au lieu d'internet :)
Difie-Hellman ne donne aucune garantie sur l'authentification.
Wut? Le site web à le droit de demander un certificat au client, signé lui aussi par une CA. Le mécanisme est le même: le client authentifie le site web par son certificat, puis le site web authentifie le client par son certificat. Les impôts français ont utilisés un temps ce système.
En fait, même une sous-CA est suffisante. Il suffit que ton certificat possède les bits qui vont bien.
Ou plus simplement, signez nous un certificat qui nous donne tous les droits, y compris ceux de signature de certificats. Mais ceci dit, il est hautement probable que la NSA ait les clés de ce genre de sociétés.
Mouais, sauf qu'apparemment, la NSA casse du RC4 tous les jours au petit déjeuner, donc dans la majeure partie des cas, il est inutile de casser quoi que ce soit. Tu écoutes, tu déchiffres à la volée (ou presque), tu stockes, puis tu datamines.
Même plus :) La seule chose que garantit le cadenas, c'est que le contenu entre ta machine et le serveur est chiffré. Il ne garantit finalement plus l'authenticité du site web (est-ce google, un serveur que la NSA a maquillé comme étant google, ou autre chose?) et il ne garantit pas que des tiers peuvent lire la communication (soit par un MiTM de la NSA, soit car le chiffrement est cassable, soit que le site web utilise mal SSL et que le site doive donner sa clé privée, permettant le déchiffrement des échanges). Et je passe sur les autres problèmes de la crypto, genre Dual EC DRBG qui cassent eux aussi toute la crypto.
[^] # Re: un truc similaire
Posté par octane . En réponse au journal Mot de passe for ever. Évalué à 4.
Genre ça?
http://exploitability.blogspot.fr/2011/04/why-plausible-deniability-sucks-at-last.html
(article en français malgré le titre trompeur).
De manière plus pragamtique, si tu utilises Truecrypt, on peux te taper jusqu'a ce que tu fournisses 2 mots de passe. Si par malheur, tu n'as jamais utilisé la partition cachée, alors tu endures des coups de marteaux éternellement. Du coup, j'ai lu (mais j'ai perdu l'article ^ ) que des gens conseillent de mettre toujours une seconde partition cachée, de petite taille, avec un mot de passe trivial. Au moins, 2 mots de passes existent et les coups de marteaux cessent.
[^] # Re: gratuit != libre
Posté par octane . En réponse au journal Sortir de google. Évalué à 5.
ta réponse est super ironique, mais je pense que tu as malheureusement raison.
[^] # Re: Engouement
Posté par octane . En réponse au journal J'avais envie de coder ce soir. Évalué à 7.
Non, mais il existe encore des journaux papiers qui contiennent quelquefois des liens vers un réseau de communication mondial. Il est mille fois plus simple d'ouvrir un navigateur et de recopier avec ses petits doigts: http://petitlien.fr/az et arriver au bon endroit plutôt que de recopier sans erreur http://www.openstreetmap.org/?lat=-27.1261&lon=-109.3503&zoom=13&layers=M.
[^] # Re: On signe quoi, en fait?
Posté par octane . En réponse au journal Booting a Self-signed Linux Kernel. Évalué à 1.
Bah oui, mais c'est le principal (unique?) avantage de secure boot.
Scénario (avant secure boot):
tu laisses ton portable éteint sans surveillance. Un gars vient, utilise un liveCD, monte le disque et lit toutes les données. La solution, c'est le chiffrement de disque!
Mais un attaquant peut venir sur ton portable sans surveillance, monter la partition /boot (qui est forcément en clair) et modifier ton noyau/initrd par un autre vérolé qui keylogge ton mot de passe. Il attend que tu te relogues, et il va récupérer une deuxième fois ton portable et hop les données.
Solution: SecureBoot, avec la machine qui va refuser de booter un kernel autre que celui signé. Donc, c'est génial car cela évite ce problème.
Mais si l'attaquant peut venir, désactiver secure boot, et mettre son noyau pourri, alors l'interêt de secureboot est réduit du coup.