https://fr.wikipedia.org/wiki/Cryptocat#Faiblesses





La version web de Cryptocat, bien qu’utilisée via HTTPS, est toujours sensible à une modification du code côté serveur en cas de compromission du serveur. Cela est toutefois limité en cas d’utilisation de l’application Chrome, qui fait tourner le code localement de façon analogue à OTR. Cryptocat peut également hériter de vulnérabilités qui affectent son navigateur web.





Hahaha, ce passage est complètement périmé depuis la refonte de cryptocat 2 !





Comme quoi, on ne peut pas toujours compter sur la communauté de wikipedia pour tenir les pages à jour ;)

Mort de Michael Jackson > Cryptocat corrige ses faiblesses

Khalev a écrit :



C’est tout le problème de l’open-source. Le bonne sécurité du logiciel est sensé être garanti par le fait que tout le monde puisse le lire.







Ce n’est que la première étape…

Comme toute première étape, elle ne suffit pas, mais son absence élimine toutes les suivantes.





Mais déjà peu de monde sait lire du code facilement (on peut savoir programmer, mais être incapable de lire le code d’un autre)





D’où l’importance de maintenir des pages de spécification du protocole claires et détaillées. Ca permet aux gens familiers avec le sujet de “relire” les principes d’une application sans forcément épelucher le code source éparpillé dans 30 fichiers, et probablement dans un langage qu’ils maitrisent mal.



…si la spécification représente fidèlement ce que le code fait ;)





mais en plus dans certains domaines on rajoute une surcouche avec les concepts mathématiques sous-jacent qui demandent de bonnes bases pour être compris.





C’est sur que les experts sont rares dans tous les domaines, et leur temps précieux.

D’où l’idée de leur rendre la tâche aussi facile et assistée que possible !





P.S: dans mon boulot je m’amuse à insérer volontairement des erreurs énormes dans mes drafts pour voir qui relit vraiment ou pas, pour l’instant aucune n’a été remontée, depuis 2 ans " /> Par contre les remarques sur la taille des marges et la police, ça j’en ai à la pelle.





ça ne m’étonne même pas :)

Crysalide a écrit :



Sinon, une page et surtout un schéma sympa de l’anonymat offert par HTTPS+Tor selon que l’on se place du côté de l’utilisateur, du FAI, de l’admin du site, du hacker, de la police ou de la NSA. " />

Tor and HTTPS: https://www.eff.org/pages/tor-and-https







Je suis un peu inquiet au sujet de Tor ces temps-ci.



N’oubliez pas qu’une surveillance globale du traffic internet met à mal le mécanisme de Tor (je l’expliquais ici:http://koolfy.be/2011/03/13/some-people-just-want-to-see-the-world-tor/ )



Cette capture du document leaké semble indiquer des points d’interception sur les liaisons intercontinentales



https://image.guim.co.uk/sys-images/Guardian/Pix/pictures/2013/6/8/1370711209084…



On se rapproche rapidement d’un scénario de surveillance globale passive (GPA), qui échappe à ce contre quoi Tor peut défendre.



On n’y est pas, mais c’est une nouvelle preuve du fait qu’on ne peut pas éternellement ignorer ce que le monde politique et les agences gouvernementales font dans notre dos. Les outils de cryptographie et anonymat sont une rustine destinée à nous rendre un peu de vie privée et de sécurité dans un monde imparfait.



La solution n’est pas d’accepter d’être surveillé en chiffrant tout (jusqu’au jour où nos outils sont mis en échec), la solution est de mettre fin à ces politiques illégales et malsaines.

(et continuer de chiffrer, au cas où.)







John Shaft a écrit :



Ensuite, il peut toujours y avoir une vilaine faille cachée dans le code de Cryptocat. Enfin je suppose que c’est un point particulièrement suivi par ceux qui participent aux dév du truc " />





On fait de notre mieux, mais j’en profite pour rappeller qu’on est peu à participer au projet, qu’il n’y a (malheureusement) pas foule d’experts et de cryptocat pour relire chaque version publiée, et que le transfert de fichier est encore dans une phase de “beta”.



Mon conseil reste de demeurer prudent dans son utilisation de Cryptocat. Sa sécurité n’est ni nulle ni réputée inviolable.

C’est un outil pour améliorer votre vie privée par rapport à un Facebook Chat où chaque message est enregistré. Cryptocat n’a pas été créé pour être la solution qui mettra en échec une NSA en pleine puissance.







Khalev a écrit :



Comment se passe l’échange de clé?



C’est toujours le point critique.







Je t’invite à aller voir la documentation du protocole : GitHub(j’ai pas encore fini de re-travailler cette page mais elle devrait être suffisamment conforme pour répondre à tes questions :) )





Cryptocat relies on an Elliptic Curve 25519 key agreement scheme.



Du Diffie-Hellman sur base de courbes élliptiques, donc ;)







fwak a écrit :



Et moi, les clefs publiques/privées fournies par un tiers “de confiance”, ben, je ne leur fais plus confiance non plus, depuis PRISM " />





Le principe des systèmes à cryptographie publique (clés privées/publiques) est justement prévu pour ne pas avoir à faire confiance à un “tiers” ;)

Dans tous les cas, peu importe la cryptographie ou la sécurisation, tu dois au minimum avoir confiance en toi et en ton interlocuteur.



Ce qu’on sécurise, c’est tout ce qu’il y a entre les deux.



D’ailleurs petit rappel: dès qu’on parle de cryptographie publique, que ça soit Cryptocat, OTR, PGP etc, si vous ne vérifiez pas la “fingerprint” affichée consciencieusement et systématiquement, vous n’êtes même pas sur de parler au bon interlocuteur :p (ce qui brise le schéma de confiance !)



Je suis implacable là dessus " />