J'aime bien les éditeurs de logiciels privateurs « cloud » qui prétendent que c'est « secure et confidentiel parce que chiffrement coté client ». Soit
- Ils font leurs cryoto Ă  leurs sauce, pas auditable. Et la crypto c'est pas leurs job
- Ils pompent lib crypto sous licence permissive, en font une boite noire inauditable et aucune valeur ajouté, ou ils modifient la lib à leurs sauce. Et la crypto c'est pas leurs job.
- Ils pompent une lib sous copyleft. Ils violent la licence + voir le cas n°2

@devnull Ça arrive trùs souvent.
Juste par curiosité, tu parles de quel logiciel la?

@roddhjav Je parle en général. Je vois souvent des prestaire de stockage en ligne ou des fabricants de disques durs qui vendent support de stockage en bundle avec abo stockge en ligne, balancer à leurs clients des clients de synchro privateurs « avec synchro ».

J'ai eu vu le cas le cas avec client proprio VPN (IPSec, OpenVPN et protocole pourri de M$ dont je sais plus le nom, auquel il faut une couche crypto à part). Je sais plus quel prestataire, mais eux c'est les champions de la décénie!

@devnull @roddhjav Un autre problÚme (en plus donc !) est que ce concept de chiffrement cÎté client présuppose qu'on ai une confiance aveugle (littéralement puisque pas auditable) dans le code client pour ne pas uploader ce qu'il n'est pas sensé uploader.

Par exemple une attaque ciblée serait facile pour protonmail (un exemple parmis tant d'autres) qui fournirais à la personne ciblée un code javascript modifié pour récupérer son mot de passe.

@roddhjav @devnull Donc mĂ©fiance quand un Ă©diteur de logiciel dit "mĂȘme si on le voulait on ne pourrait pas dĂ©chiffrer vos donnĂ©es", c'est absolument faux.

La seule protection est de ne pas ĂȘtre vulnĂ©rable si quelqu'un pĂ©nĂštre leur serveur ET qu'ils s'en rendent compte avant que les utilisateurs utilisent Ă  nouveau le systĂšme compromis.

En revanche ça ne protĂšge pas des (hypothĂ©tiques) mauvaises intentions de l'Ă©diteur lui mĂȘme.

@youen @roddhjav En pratique, ça protÚge de rien du.rout ouais. Ils ont les clés sur leurs serveurs pour chiffrer/déchiffrer, donc ils.se font.piquer les clés au passage en cas d'attaque externe

Cf la fuite de icloud il y a quelques années

@devnull @roddhjav Sauf si le chiffrement dépend du mot de passe utilisateur. Le problÚme étant alors qu'ils sont en excellente position pour le lui voler.

@roddhjav @devnull Et en plus les mots de passe utilisateur sont souvent trĂšs faibles.

@devnull @youen
Vous avez tout Ă  fait raison. Cependant, dans la pratique ces boites noires ne sont pas toujours aussi noire.

1. On peut assez facilement vĂ©rifier ce que logiciel client envoie (via whireshark par ex). Si c'est pas chiffrĂ©, s’il envoie trop de chose... Par exemple si WhatsApp chiffre tous les messages de ses utilisateurs avec une clĂ© de trop (la sienne), ca va se voir.

@devnull @youen
Mais c'est vrai que : c'est galÚre et pas infaillible, que le comportement du logiciel peut changer aprÚs une mise à jour et c'est bien pour ça que l'open source est toujours à recommander.

@devnull @youen
2. Plus gĂ©nĂ©ralement, c’est implicite, mais l’hypothese de sĂ©curitĂ© initiale quand vous installez un logiciel est que vous lui faites confiance, parce qu’il tourne sur un environnement de confiance et qu’il peut faire beaucoup de chose dessus. Donc ca signifie aussi que vous faites confiance Ă  l’éditeur du logiciel. Dans le cas d’une boite noire, c’est plus ou moins une confiance aveugle au fournisseur de service.

@roddhjav @devnull Tout a fait, c'est ce que je voulais dire : le chiffrement de bout en bout ne vaut que si on fait confiance Ă  l'Ă©diteur. Ni plus ni moins :)

Le cas des outils "as a service" est plus risqué de maniÚre générale car susceptible de changer le code cÎté client n'importe quand, et possiblement en ciblant un utilisateur particulier (donc les audit de code ou réseau ne vont rien voir)

🐧Dave Null🐧
Follow

@youen @roddhjav Si t'es visĂ© particulierĂšment, t'es screwed dans tous les cas (sauf dans le cas oĂč la cible se sait ciblĂ©e et est techniquement plus compĂ©tente que l'attaquant, dont les moyens seraient aussi limitĂ©s. Mais ce cas n'existe pas en pratique. Quand quelqu'un ciblĂ©, on y met les moyens en gĂ©nĂ©ral et tu le sais pas. Si tu te sais ciblĂ© autant rester trĂšs loin de tout ce qui Ă©lectronique).

· Web · 0 · 0 · 0
Sign in to participate in the conversation
La Quadrature du Net - Mastodon - Media Fédéré

Bienvenue dans le media fédéré de la Quadrature du Net association de défense des libertés. Les inscriptions sont ouvertes et libres.
Tout compte créé ici pourra a priori discuter avec l'ensemble des autres instances de Mastodon de la fédération, et sera visible sur les autres instances.
Nous maintiendrons cette instance sur le long terme.