37 private links
Tiens, je pensais l'avoir déjà partagé ici.
Bref, en bon français, on dit chiffrer et pas crypter !
Tout comme TrueCrypt en son temps, VeraCrypt a eu droit à son audit de sécurité dont les résultats nous sont parvenus hier. L'auteur a été prompt à réagir et la plupart des failles ont été corrigées.
Un article très intéressant sur VeraCrypt et son développeur :)
Ou Threema ;)
Chiffrement de bout en bout, nombreuses fonctionnalités, serveurs et société situés en Suisse, et gros avantage par rapport à d'autres messageries : pas besoin de numéro de téléphone ! Votre identifiant est un numéro aléatoire et donc parfaitement anonyme.
Deux points négatifs : pas totalement open source (bien qu'audité) et payant (2€ environ, ce n'est pas la mer à boire).
Un logiciel de "cryptage" (sic), payant, à sources fermées, "réellement inviolable" (de leurs mots), inutile de dire que ça attire ma méfiance la plus totale ! Je ne devrais même pas en parler d'ailleurs (ça leur fait de la pub), mais il faut que ça sorte >_<
Le pire, c'est que sur la page d'accueil, ils précisent bien que la sécurité est vérifiable. Vraiment ? Je rappelle que les sources sont fermées, inaccessibles, alors bon, je ne sais pas ce qui est vraiment vérifiable au final.
Honnêtement, j'ai beaucoup de peine à prendre au sérieux un logiciel qui se prétend "réellement inviolable", sachant qu'aucun expert en sécurité digne de ce nom n'oserait affirmer une chose pareille - la sécurité à 100% n'existant pas.
Ah pardon, ils disent utiliser le principe du masque jetable (one-time pad), seule méthode de chiffrement reconnue comme étant réellement invulnérable, mais À CONDITION que l'implémentation soit parfaite, d'un bout à l'autre (masque véritablement aléatoire, utilisé qu'une seule fois, etc.) ! Chose impossible à vérifier en l'état. Et comme ledit masque est généré à partir d'une clé, de taille forcément plus réduite que les données à chiffrer, autant dire que s'il y a une faille dans l'algo, toute la sécurité est compromise - masque jetable ou pas.
La cerise sur le gâteau, c'est quand même les citations sur le site, totalement sorties de leur contexte de manière à faire croire qu'elles se réfèrent directement au logiciel, ce qui n'est pas le cas.
Comment je le sais ? En-dehors du fait qu'elles parlent du principe de chiffrement en lui-même (one-time pad, masque jetable) plutôt que du logiciel (manœuvre subtile), j'en ai la preuve ici : https://groups.google.com/forum/#!msg/fr.misc.cryptologie/fo4RXoxn3bU/OrBQBJcxZLYJ
Il s'agit de François Weissbaum, l'auteur de la première citation, qui refuse que son mon nom soit associé à ce produit et qui voulait que la citation soit retirée. Il n'a pas obtenu gain de cause en contactant les auteurs, sous prétexte qu'ils respectent les dispositions légales (ce qui n'est pas le cas : en Suisse, l'auteur et la source - qui manque - doivent être présents et l'emploi de la citation doit être justifié - à mon avis, ici c'est quelque peu abusif). Ça sent la tentative de tromper le consommateur, mais on me dira que je suis mauvaise langue... Chacun pense ce qu'il veut.
Dans le fil NG que j'ai posté plus haut, l'auteur de Swisscrypt prend part à la discussion et... il s'en suit un démontage en règle du logiciel par les autres participants. C'est vieux (2006), mais ça vaut la peine de lire si vous avez le temps.
Bref, en ce qui me concerne : mauvaise note dans WOT et boycotte permanent de ce "produit" (je ne sais pas s'il est encore vendu, mais le site existe toujours).
Vous n'avez rien à cacher ?
« Peut-être même que vous avez déjà publié des choses qui vous semblent totalement banales et légales hier, mais qui peuvent devenir totalement illégales et répréhensibles demain. Au Mali par exemple, après l'arrivée des Talibans au pouvoir, vous pouviez être condamné à mort pour avoir suivi une marque d'alcool sur Twitter ou si vous aviez déclaré être athé sur votre profil Facebook… Nous avons la chance de vivre aujourd'hui dans un pays (plus ou moins) démocratique, mais personne ne peut garantir qu'il en sera toujours ainsi demain. »
Mais encore : « Et si vous n'avez réellement rien à cacher, vous ne verrez donc aucun inconvénient à ce que je vous suive 7j/7, que je vous filme 24h/24 et que je diffuse tout ça à vous ne savez trop qui ? Comment ça « non » ? Auriez-vous quelque chose à cacher ? »
Ben voyons... On va revenir en arrière à l'époque où la taille des clés était limitée ? C'est n'importe quoi. Quand on dit que l'histoire est un éternel recommencement...
J'espère qu'en Suisse on est un tantinet plus intelligent sur la question. Bon déjà, à ma connaissance, il n'y a jamais eu de restrictions en matière de chiffrement, bien au contraire, l'État le pousse en avant et l'encourage. Après, c'est comme le secret bancaire, rien n'est immuable...
Enfin une alternative sérieuse à TC ?
Voilà une analyse pertinente de la situation ! Non, les VPN ne sont pas morts, contrairement à ce qu'annonçaient certains médias et blogueurs !
Cet article prouve encore une fois qu'il ne faut pas faire aveuglément confiance aux systèmes à sources fermées, car elles peuvent comporter des backdoors, alors qu'il est beaucoup plus facile d'en cacher dans un produit open-source ! Et les produits noyautés semblent être légion.
Comme c'est mignon.
« M. Comey explique donc qu'il ne faut pas mettre en place des moyens qui mettent les gens au-dessus des lois, et que l'on a besoin d'accéder aux données des gens qui sont des criminels lorsque la loi l'exige. »
Euh en quoi chiffrer met les gens au-dessus des lois ? Il y a une loi qui interdit de chiffrer maintenant ? Et quant au besoin d'accéder aux données chiffrées, je sais qu'en France (et sûrement aussi en Suisse et aux USA) la loi dit clairement que si quelqu'un refuse de donner ses clés de chiffrement aux autorités, il encoure de sérieux risques pénaux (prison, amende). Davantage si c'est pour couvrir un crime.
TL;DR : Un billet très intéressant d'Eric Lippert (développeur principal de l'équipe en charge du compilateur C#) concernant la cryptographie et le secret des clés. Car ce qui importe dans un algo de chiffrement pour qu'il soit sécurisé, c'est de gérer correctement les clés et les garder secrètes. Tout le reste doit être connu et ouvert, comme on le dit sans cesse !
Combien ça coûterait d'attaquer par force brute une clé AES 256 bits en une année ? Pas moins de 10^44 fois le PIB mondial (soit 8*10^57$) !
Il va falloir que je teste ça à l'occasion. D'ailleurs, il y a une liste quelque part des alternatives à TC ? Parce qu'il commence à y en avoir beaucoup (ce qui est bien).
À tester...
Un team (suisse) a mis en place un site pour se fédérer autour de Truecrypt et proposer de continuer le projet au cas où il serait mort...
Prudence toutefois : rien ne dit pour l'instant que ceux derrière le site sont fiables !
Dans leurs arguments, le seul point qui me fait tiquer, c'est la mention comme quoi les membres de la team ne seront pas anonymes : c'est honorable, mais dangereux. Le point fort de Truecrypt, c'était justement l'anonymat du développeur qui ne pouvait ainsi pas subir de pressions (jusqu'à maintenant ?).
Si les membres sont connus, rien ne dit qu'ils ne vont pas être manipulés et "contraints" de fragiliser l'implémentation de TC ou y intégrer une backdoor.
À suivre...
Au passage, cette histoire avec TC pue à des kilomètres. Plusieurs théories s'affrontent mais une chose demeure : personne ne croit à la version "officielle". En attendant, je conseille de garder la dernière version fiable (7.1a) qui est encore sûre jusqu'à preuves du contraire !
Euh, on a d'un côté : "garantir un taux de confidentialité très élevé et sans compromis", puis "3DES" de l'autre.
Facepalm
Bon à savoir : il est possible de créer une entrée spéciale dans un DNS pour indiquer où se trouve votre clé publique PGP/GPG !
Cela permet ensuite au programme de vos contacts de retrouver automatiquement votre clé sans qu'elle soit présente sur un serveur de clé !
Je ne sais pas si la découverte automatique des clés se fait dans tous les programmes par contre...
TL;DR
L'importance de mettre une date d'expiration sur les clés PGP/GPG.
Bof, aucun intérêt (vu le prix : 50 € le lot de 10 DVD)...
Comme ils disent, autant prendre un container TrueCrypt et le graver, au moins on est sûrs du résultat et ça ne coûte pas plus cher (en plus d'être multiplateforme) !
Interdiction de présenter sa découverte à la conférence Usenix ? Ben voyons... Au lieu de corriger les failles, on préfère taper sur celui qui les annonce. Classique.
Au passage, c'est quoi ce "Megamos Crypto" comme algo de chiffrement ? Ca pue le chiffrement maison en mousse (MegaMousse ?) -_-