Mais plus généralement, le problème vient du fait que tout ce fingerprinting est rendu possible par des technos de kékés, inutiles et donc indispensables, dont la suppression / désactivation entraîne des scores dégradés sur par exemple les tests acid3.acidtests.org ou html5test.com. Il n’y a qu’à comparer les scores de Firefox nu vs Tor Browser sur ces tests pour se faire une idée.
Et mine de rien, quand on désactive ce genre de techno on a volontier une expérience utilisateur dégradée ici où là. Voici par exemple à quoi ressemble nextinpact dans Tor Browser en sécurité élevée (avec JS activé quand même, sinon c’est juste inutilisable):http://hpics.li/40da4f1
Il y a une vraie possibilité liée au chat qui se démarque d’autres solutions et qui n’a pas été (encore) abordée dans l’article, c’est le fait de pouvoir contacter quelqu’un de manière sécurisée sans avoir à préalablement connaitre son email ou son numéro de tel (comme pour Signal) et sans avoir besoin de savoir si la personne est déjà ou non sur Keybase.
Chose qu’on peut déjà faire avec tout détenteur d’une clé PGP publiée sur les serveurs de clés…
C’est une perte de temps pour les rien-à-cacher. Autrement, c’est tout simplement state-of-the-art. A moins que tu aies une alternative à nous présenter ? (peut-être Dark Mail? mais c’est encore bien jeune et encore moins répandu)
Le
31/01/2017 à
15h
01
Il faut bien que certains commencent ;)
Sinon à une cryptopartie, j’avais discuté avec quelqu’un qui signait systématiquement ses e-mails avec PGP (sans les chiffrer, car on ne le mentionne pas souvent mais on peu aussi utiliser PGP pour papoter en clair tout en certifiant que le texte n’a pas été altéré, cf les mailing lists de Freenet par exemple)
Du coup, ça intriguait certains destinataires et c’était l’occasion d’engager la discussion sur le sujet :)
Le
30/01/2017 à
14h
36
Il me semble plus précisément que ça implique de resigner la clé publique, pas de la regénérer (la différence s’apprécie, vu le temps qu’il faut pour générer une grosse clé comme celles que j’utilise ;) )
Le
29/01/2017 à
20h
28
+1, Signal est une vaste blague qui t’oblige à utiliser Google. Partant de là, pas grand chose à ajouter. A part que c’est une question d’usage: ça reste approprié pour sécuriser (faiblement) les SMS et les appels (et encore, pour les SMS il y a SIlence). Pour le reste, PGP ne me semble pas avoir de concurrent… “Avec PGP tu signes tout et n’importe quoi sur n’importe quelle plateforme”, ça résume bien
Le
29/01/2017 à
14h
18
Quand l’existence d’un ordinateur quantique suffisamment gros pour cracker les clés sera confirmée, ça sera trop tard…
Il y a par exemple Kleopatra (disponible sous Windows via Gpg4win)
Le
29/01/2017 à
14h
13
En effet, mais bon, depuis le temps que des gens se baladent avec des clés de 8kbits, en pratique les problèmes sont rares ;) Aucun souci en particulier avec GnuPG 2.x, et je ne crois pas non plus avec les dernières versions 1.x
Le
29/01/2017 à
12h
30
Malheureusement, l’ECC est plus vulnérable aux attaques par ordinateur quantique que le RSA (du fait de la petite taille des clés). En attendant les algo post-quantiques, le mieux reste donc une bonne grosse clé RSA (genre 8192 bits).
En plus, ça évite de mettre dans l’embarras les gens qui sont coincés sur une vieille version de GnuPG (il me semble que l’ECC n’est supporté que dans les versions 2.1+)
Non… sauf s’ils nous font des cachoteries et ont un ordinateur quantique (avec suffisamment de qbits) planqué dans un placard ;)
(ou si ta clé RSA fait 2048 bits ou moins) (oui soyons un peu parano, on est sur une news PGP quand même)
Le
30/01/2017 à
19h
03
Disons que c’est bien chiffré en effet (genre si tu paramètres le tout correctement, FB t’envoie des e-mails chiffrés bien comme il faut). Cela dit, ça n’a rien de protecteur vis-à-vis du peeping Tom en chef, Facebook lui-même, et cette fonction entretient doucement la confusion entre sécurité et “privacité”…
A ce que j’ai compris, un nombre de contributeurs actifs a migré vers LibreElec, et OpenElec a l’air d’être à l’abandon depuis quelques mois. Les gens sur le forum se posent des questions sur sa viabilité.
J’ai mis à jour mon Openelec vers LibreElec ça se fait comme une update classique.
Et j’ai vérifié y a bien python 2.7.12.
Bien content de profiter de Kodi 16 et sa nouvelle interface !
Le
26/12/2016 à
16h
06
L’avantage des projets open source libres qui foirent c’est que ça peut repartir avec un copier/coller si la volonté est là.
LibreOffice a forké OpenOffice avec succès.
LibreElec a forké OpenElec avec succès.
LineAge a forké Cyanogenmod …
Alors que du côté des projets à source fermée, ça fini en eau de boudin : winamp, picasa, opera,…
« Ce que propose l’IETF, c’est un résolveur accessible en DNS sur TLS, … Si les gens ne le déploient pas, ce n’est pas la faute de l’IETF »
Il faut juste que Windows, OSX et GNU/Linux l’implémentent sur la partie client DNS. Quand on voit que DNSSEC ne décolle pas… on ne se fait guère d’illusion " />
" /> Le problème c’est que la directive européenne “prend comme critère d’évaluation le consommateur moyen qui est normalement informé et raisonnablement attentif et avisé, compte tenu des facteurs sociaux, culturels et linguistiques”.
Le consommateur moyen étant ignare et voulant juste “la wifi pour aller sur facebook” on est pas sûr que ça passe cette affaire. Croisons les doigts.
122 commentaires
Des chercheurs créent une empreinte pour pister un internaute via plusieurs navigateurs
14/02/2017
Le 15/02/2017 à 07h 51
Oui.
Mais plus généralement, le problème vient du fait que tout ce fingerprinting est rendu possible par des technos de kékés, inutiles et donc indispensables, dont la suppression / désactivation entraîne des scores dégradés sur par exemple les tests acid3.acidtests.org ou html5test.com. Il n’y a qu’à comparer les scores de Firefox nu vs Tor Browser sur ces tests pour se faire une idée.
Et mine de rien, quand on désactive ce genre de techno on a volontier une expérience utilisateur dégradée ici où là. Voici par exemple à quoi ressemble nextinpact dans Tor Browser en sécurité élevée (avec JS activé quand même, sinon c’est juste inutilisable):http://hpics.li/40da4f1
Censure du délit de consultation : du soulagement à la quête d’un plan B
10/02/2017
Le 11/02/2017 à 21h 04
C’est pour ça que je visite ici en passant par Tor ;)
Keybase.io : comment ça marche ?
10/02/2017
Le 11/02/2017 à 20h 31
Chrome OS 56 accélère sur le Material Design et l’accessibilité
10/02/2017
Le 10/02/2017 à 11h 50
Neverware fourni gratuitement une version qu’on peut installer sur n’importe quelle machine.
Je me demande si le PlayStore y sera dispo.
GPG : comment créer une paire de clefs presque parfaite
28/01/2017
Le 31/01/2017 à 21h 55
C’est une perte de temps pour les rien-à-cacher. Autrement, c’est tout simplement state-of-the-art. A moins que tu aies une alternative à nous présenter ? (peut-être Dark Mail? mais c’est encore bien jeune et encore moins répandu)
Le 31/01/2017 à 15h 01
Il faut bien que certains commencent ;)
Sinon à une cryptopartie, j’avais discuté avec quelqu’un qui signait systématiquement ses e-mails avec PGP (sans les chiffrer, car on ne le mentionne pas souvent mais on peu aussi utiliser PGP pour papoter en clair tout en certifiant que le texte n’a pas été altéré, cf les mailing lists de Freenet par exemple)
Du coup, ça intriguait certains destinataires et c’était l’occasion d’engager la discussion sur le sujet :)
Le 30/01/2017 à 14h 36
Il me semble plus précisément que ça implique de resigner la clé publique, pas de la regénérer (la différence s’apprécie, vu le temps qu’il faut pour générer une grosse clé comme celles que j’utilise ;) )
Le 29/01/2017 à 20h 28
+1, Signal est une vaste blague qui t’oblige à utiliser Google. Partant de là, pas grand chose à ajouter. A part que c’est une question d’usage: ça reste approprié pour sécuriser (faiblement) les SMS et les appels (et encore, pour les SMS il y a SIlence). Pour le reste, PGP ne me semble pas avoir de concurrent… “Avec PGP tu signes tout et n’importe quoi sur n’importe quelle plateforme”, ça résume bien
Le 29/01/2017 à 14h 18
Quand l’existence d’un ordinateur quantique suffisamment gros pour cracker les clés sera confirmée, ça sera trop tard…
Et il semble que les progrès sont assez palbables quand même :https://www.wired.com/2015/09/googles-quantum-computer-just-got-a-big-upgrade-10…
Le 29/01/2017 à 14h 14
Il y a par exemple Kleopatra (disponible sous Windows via Gpg4win)
Le 29/01/2017 à 14h 13
En effet, mais bon, depuis le temps que des gens se baladent avec des clés de 8kbits, en pratique les problèmes sont rares ;) Aucun souci en particulier avec GnuPG 2.x, et je ne crois pas non plus avec les dernières versions 1.x
Le 29/01/2017 à 12h 30
Malheureusement, l’ECC est plus vulnérable aux attaques par ordinateur quantique que le RSA (du fait de la petite taille des clés). En attendant les algo post-quantiques, le mieux reste donc une bonne grosse clé RSA (genre 8192 bits).
En plus, ça évite de mettre dans l’embarras les gens qui sont coincés sur une vieille version de GnuPG (il me semble que l’ECC n’est supporté que dans les versions 2.1+)
Facebook : comment y diffuser votre clef GPG et recevoir des notifications chiffrées
30/01/2017
Le 31/01/2017 à 14h 55
Non… sauf s’ils nous font des cachoteries et ont un ordinateur quantique (avec suffisamment de qbits) planqué dans un placard ;)
(ou si ta clé RSA fait 2048 bits ou moins) (oui soyons un peu parano, on est sur une news PGP quand même)
Le 30/01/2017 à 19h 03
Disons que c’est bien chiffré en effet (genre si tu paramètres le tout correctement, FB t’envoie des e-mails chiffrés bien comme il faut). Cela dit, ça n’a rien de protecteur vis-à-vis du peeping Tom en chef, Facebook lui-même, et cette fonction entretient doucement la confusion entre sécurité et “privacité”…
Android 7.1.1 arrivera sur le Nexus 6 début janvier
28/12/2016
Le 28/12/2016 à 11h 36
« Arrêt des services » chez Cyanogen, Lineage prend le relais de CyanogenMod
26/12/2016
Le 27/12/2016 à 11h 06
A ce que j’ai compris, un nombre de contributeurs actifs a migré vers LibreElec, et OpenElec a l’air d’être à l’abandon depuis quelques mois. Les gens sur le forum se posent des questions sur sa viabilité.
J’ai mis à jour mon Openelec vers LibreElec ça se fait comme une update classique.
Et j’ai vérifié y a bien python 2.7.12.
Bien content de profiter de Kodi 16 et sa nouvelle interface !
Le 26/12/2016 à 16h 06
L’avantage des projets open source libres qui foirent c’est que ça peut repartir avec un copier/coller si la volonté est là.
" /> vive le libre !
LibreOffice a forké OpenOffice avec succès.
LibreElec a forké OpenElec avec succès.
LineAge a forké Cyanogenmod …
Alors que du côté des projets à source fermée, ça fini en eau de boudin : winamp, picasa, opera,…
Apple : iCloud synchronise sans accord les journaux d’appels
19/11/2016
Le 19/11/2016 à 11h 58
La belle affaire !
Les opérateurs téléphoniques font ça depuis longtemps. Et sont obligés de garder cet historique à disposition des autorités.
Qu’Apple le fasse aussi ne change rien, notre historique d’appels a toujours été consultable par les gouvernements.
Blocage par erreur d’Orange et DNS : quelle fiabilité pour cet élément essentiel du Net ?
20/10/2016
Le 20/10/2016 à 16h 39
« Ce que propose l’IETF, c’est un résolveur accessible en DNS sur TLS, … Si les gens ne le déploient pas, ce n’est pas la faute de l’IETF »
" />
Il faut juste que Windows, OSX et GNU/Linux l’implémentent sur la partie client DNS. Quand on voit que DNSSEC ne décolle pas… on ne se fait guère d’illusion
PS: Excellent article Guénaël !
Blocage de Google, OVH et Wikipedia : « on ne cherche pas à vous cacher la vérité » assure Orange
17/10/2016
Le 17/10/2016 à 17h 07
Si on utilisait DNSSEC ça éviterait de subir ce genre de soucis, non ?
La justice européenne se prononcera le 7 septembre sur la vente liée PC et OS
01/09/2016
Le 01/09/2016 à 17h 58
Le consommateur moyen étant ignare et voulant juste “la wifi pour aller sur facebook” on est pas sûr que ça passe cette affaire. Croisons les doigts.
Facebook veut servir de meilleures publicités et contourner les bloqueurs
11/08/2016
Le 11/08/2016 à 17h 52
Perso, j’enlève les liens sponsorisés de mon fil d’actualité avec ce css d’une ligne :
" />
div[data-ft*=“,\“ei\”:“] { display:none !important; }
Mettez opacity:0.3 à la place de display:none pendant les 2~3 premiers jours pour essayer, vous verrez que ça marche.