Merci, si c’était facile à trouver à partir des articles, je n’ai pas été bon :( (OK, j’ai trouvé le lien, dans l’article en lien, dans l’article source, en lien dans celui de NI)
En tout cas, qu’ils expliquent un peu comment ça se passe c’est une très bonne chose. Mais j’espère que ce sera “facilement” accessible depuis Edge pour les utilisateurs que ça intéresse (le “learn more” que l’on voit dans l’anim ? Peut-être…).
Le post ne parle pas de la nouveauté évoqué dans l’article, mais juste de la partie style “haveibeenpwned”.

L’ennui c’est que ça ne me rassure pas du tout.
Au contraire.
Ils y parlent du “Chiffrement homomorphe”, en gros ça permet de faire des opération entre des choses chiffrées par le même secret, sans les déchiffrer.
Ça leur permet de dire que l’identifiant et le mot de passe de l’utilisateur ne sont jamais en clair chez-eux (sauf les 2 premier caractères de l’identifiant, aie! Apparemment pour “optimiser”).
Mais, si j’ai bien compris(leur 6éme paragraphe n’est pas hyper clair, je trouve, j’ai due m’aider de ça, et j’ai peut-être loupé un truc), ils oublient de préciser que (en résumé) la clé de chiffrement c’est eux qui la fournissent, via l’OPRF.
Alors juré, crachéparterre, le “Chiffrement homomorphe” leur permet de faire les comparaisons sans que le serveur de comparaison n’ai besoin de déchiffrer les secrets de l’utilisateur.
Mais s’ils veulent déchiffrer, il le peuvent, la clé est sur un autre de leurs serveur. Et ça , ça me suffit.
(Comme Mozilla depuis qu’ils ont changé leur système de synchro les mots de passe sont chiffrés chez eux. Mais ils ont la clé )

Mais des gens comme Microsoft, qui on bien collaboré à alimenter les “collections” de la NSA, dixit les révélations de Snowden. Je ne leur donne pas un prétexte pour sortir mes mots de passes.
Les mots de passe ils restent sur le PC, chiffré avec “mon secret”. Ils sont communiqués uniquement aux sites pour lesquels ils ont été stockés. Et si “mon secret” ou le mot de passe sort de mon PC pour une autre raison, c’est que Microsoft me pirate.

J’ai lu ailleurs que ce n’était pas activé par défaut, c’est surprenant de leur part. Mais bienvenu.

Je ne dit pas que ce genre de fonction ne peut pas être “globalement” utile. Mais faite de cette façon, ça implique de faire confiance à Microsoft de ne pas faire quelque chose qu’ils peuvent faire sur leurs serveurs sans témoins, à part quelques employés.

Pour l’instant, je fait encore confiance au keystore de Firefox avec master password et surtout non-synchronisé par Sync (la plaie :( ).
Je part du principe que n’étant pas une cible particulière, je ne serai pas ciblé par un truc spécifique (qu’il vienne de Mozilla, Ubuntu, Microsoft, Google, ou d’un tiers), et que s’il y a un comportement générique malicieux, quelqu’un de plus malin que moi s’en apercevra, car ça fait pareil chez tout le monde.
Mais si le comportement de base devient : je balance tous les secrets par la fonction “téléphonMaisonJuréCrachéCestPourLeBienDelHumanitéOnFaitRienDeMalAvec;-)()”, qu’est ce que tu veux détecter côté client ?
Tout le monde se retrouve à la merci du moindre changement de loi, de politique commercial, d’humeur du PDG, ou d’un salarié avec suffisamment d’accès (mais pas tant que ça).