SebGF a dit:

Je ne sais pas si la liste avait pour objectif d’être exhaustive, mais l’orientation sexuelle est aussi une information classée comme “devant être autorisé pour des cas spécifiques” listée dans le considérant 71.

Oups, erreur d’édition, effectivement il y a l’orientation et la vie sexuelle dans l’article 9 du RGPD.

Pour le DPO, le titre n’est pas adapté : le DPO a en effet un rôle d’information, de conseil et de contrôle, et doit être indépendant. Ce n’est pas le responsable du traitement des données, c’est un “surveillant général du RGPD” (entre autres) qui peut prendre la forme d’un DPO ou d’un correspondant pour les petites entités.

fdorin a dit:

L’article manque cruellement de détails pour les développeurs, cible pourtant annoncé en début d’article. Comment gérer la sécurisation des données ?

Je vais juste repréciser le but de mon petit papier : il est question de préciser quoi faire dans le cadre du RGPD, pour un développement informatique, et pas comment faire, car il faudrait une encyclopédie pour faire le tour du sujet. Après cela, nos lecteurs peuvent partager leurs avis et expériences, les commentaires sont faits pour ça et sont les bienvenus !

Mais peut-on refuser de réaliser un dev si la demande est clairement hors RGPD (collecte de données hors contexte métier) ? Malheureusement nous n’avons de droit de retrait !

La relation avec l’employeur ou le donneur d’ordre est souvent complexe (en clair on redoute toujours le “je me fais virer si je fais pas”). Néanmoins, il y a toujours un responsable (légalement parlant) à un traitement : le dev peut toujours faire subtilement remarquer à celui-ci que s’il ne fait pas ce qu’il faut pour se conformer au RGPD, il est passible d’une amende mais aussi d’une peine d’emprisonnement mais dans ce cas là on passe dans le délictuel (= passage au tribunal correctionnel).

macintosh_plus a dit:

Une IP étant une donnée personnelle, utiliser les CDN pour charger le JS/CSS/Image est-il possible ? Si oui, existe-il des limitations ? Au vu des décisions dans l’Europe, ce n’est pas possible dans que le CDN n’est pas la propriété du propriétaire du site…

Attention : une IP n’est pas nécessairement une donnée personnelle. Et puis ici on peut l’utiliser pour un CDN car c’est un impératif pour la réalisation du contrat (= la délivrance du service de CDN).

Aqua a dit:

C’est marrant que l’article ne touche pas une énorme source de “no code” que sont les modèles de simulation ou les outils de spec formelle pour code embarqué (SCADE, Simulink, etc…).

L’idée de l’article était plutôt de voir à quoi correspondait la vague marketing actuelle sur le no-code/low-code, pas de faire un état des lieux exhaustif. Simulink n’est pas vraiment dans cette vague marketing, et n’est pas non plus un outil à destination du plus grand nombre, c’est plutôt ce qu’on appelle un outil de niche, avec des fonctionnalités largement plus développées que ce que l’on trouve dans les outils estampillés “low code” comme PowerApps. Les commentaires sont d’excellents moyens de compléter cet article avec vos connaissances !

Hmmmm… L’Etat détient 70% du capital (cf. article 111-67 du code de l’énergie), non ? Donc s’il manque 600 k€ à la fin de l’année, y aura qu’à piocher dans la cagnotte de la CNIL. Je suis p’t’êt’ un peu mauvaise langue…

Faut aussi qu’ils attaquent Wikipédia. Je leur transmets le nom de leur rédac’chef.

Oups ! Correction sur l’article : ETH et ETH2 sont la même chose, je me suis emmêlé les pinceaux. L’Ether basé sur la preuve de travail (qui va donc continuer à vivre indépendamment) s’appelle officiellement ETHW ( cf. https://ethereumpow.org/).

“le gouvernement considère que rien n’interdit le paiement de la rançon” : Drôle d’analyse. De nombreux groupes d’attaquants sont issus de pays étant sous le coup de sanctions (Iran, Corée du Nord…), je ne suis pas du tout certain que le paiement soit juridiquement possible tout le temps. Un avis, Marc ?

Qui c’est qui va me faire passer des petites remarques juridiques quand je suis pas assez précis dans mes articles ?

Bonne continuation Marc mais si Flock se barre aussi, je me suicide à l’homéopathie. Sérieusement on est dans une période où bcp de gens bougent, pour NextINpact ça peut être l’occasion de se rapprocher des lecteurs. Que Marc s’en aille, c’est la vie. Que ce soit l’occasion pour la rédaction de prendre des forces (nouvelles).

Flock fait poète-poète…

Point 1 : un gestionnaire de mot de passe en ligne, c’est une cible de choix pour un méchant pirate.
Point 2 : effectivement LastPass (tout comme DashLane) a eu des soucis assez sérieux avec la qualité de son code, pointée par Tavis Ormandy.
[taquin]
J’espère que les pirates en auront profité pour améliorer le code existant…
[/taquin]

Mon petit grain de sel : je m’étonne que David Jao s’étonne. Je ne suis pas un docteur en crypto (j’en connais ), mais dans ce petit monde on s’accorde sur le fait que les premières versions d’algos se font en général plomber au moins une fois au début : c’est l’éternel problème en sécurité informatique où le défenseur n’a pas le droit à la moindre erreur, alors qu’il suffit d’une erreur à l’attaquant.

Certes les algos sont créés avec l’idée qu’ils vont être attaqués (hélas on vit dans un monde plein de méchants), mais il est impossible de faire le tour des attaques imaginables “en chambre”. La publication fait office de top départ pour toutes les équipes s’intéressant à la crypto pour tenter de casser le nouveau venu. Cela permet d’évaluer la robustesse du nouvel algo, de corriger les faiblesses, ou d’abandonner si le défaut est trop critique.

En résumé : ça n’était pas souhaité, mais prévisible !

Après faut pas oublier la future Grande Guerre de 2077…

(reply:2078717:xouboudou) C’est prévu dès que je sors la tête de l’eau

(reply:2077863:gathor) Presque…

Très bonne semaine Flock, c’est un sans-faute ! Et t’inquiète pas pour les sous, il reste les arnaques sur les crypto-actifs (ou les escroqueries amoureuses).

Magie de la mécanique quantique : à chaque fois que tu “lis” l’état d’une particule, tu le modifies. Donc un contrôle d’intégrité montrera le problème à l’arrivée. Mais bon c’est dit de façon très simplifiée…

Oui, contrairement aux ordinateurs quantiques qui ne sont pas encore au point (d’un point de vue industriel), on sait déjà transmettre (sur qqs centaines de km) une clé secrète par un mécanisme quantique. Et en effet quand on essaye de lire le signal, on le modifie, ce qui se voit avec un “simple” contrôle d’intégrité.

Flock nous montre son vrai visage…

Encore un coup de David L…

Les apéros en visio, c’est quand même moins marrant. Mais bienvenue Ilda !

Et sinon il aura un petit nom marrant, le TADPF (Trans-Atlantic Data Privacy Framework), genre Safe Harbor/Privacy Shield : Data Shell ? Sinking Armor ? On lance un concours ?

En effet. Quand il s’agit de gérer la sécurité de l’OS, les constructeurs considèrent que le code PIN reste supérieur à la biométrie. De là à dire qu’ils n’ont pas confiance…

Pour les combinaisons, un code PIN sur 4 c’est 10 000 possibilités, alors que le touchID donne 1 erreur sur 50 000 (c’est à peu près pareil sur Android). Mais le code PIN, on peut le révoquer et le changer en cas de problème. Et surtout 5x plus de combinaisons, en sécurité informatique, c’est légèrement mieux et non beaucoup mieux (ça dépend des scenarios d’attaques et de plein d’autres choses, mais on raisonne surtout en pallier de x10). Et avec un code PIN sur 6 on dépasse le faceID.

A titre de comparaison, un mot de passe de 8 caractères composé uniquement de lettres (maj/min) et de chiffres donne 218 340 105 584 896 combinaisons.

Et moi pour réduire le stockage, je supprimerai toutes les voyelles dans mes articles.

J cmmnc mntnnt.

De plus, en cas de compromission, il est en général impossible de changer la source d’authentification (l’empreinte, la voix, la forme de la main…). En conséquence :

• Une fois compromise, une source d’authentification biométrique l’est pour toujours (elle est >permanente !)


• La compromission permettra l’authentification sur le système d’origine (de la compromission), >mais aussi sur tous les systèmes utilisant la même biométrie (elle est unique !)


• La seule parade consisterait en une détection du vivant mais c’est une tâche très complexe, >hors de portée d’un capteur qui ne mesure qu’une seule caractéristique (ou deux).


• Pour achever le tout, la biométrie n’est pas révocable : je ne peux pas changer mes caractéristiques.

Celui qui détermine (= choisit) les contenus mis à la disposition du public sur un service qu’il a créé, c’est un éditeur, non ? Pas un simple hébergeur…

Exactement. Vois avec Flock pour les modalités.

La consécration : Flock qui illustre une de mes actus. J’écrase une larme.

“Sur le plan de l’arnaque, les coups les plus tordus ne sont rien, vous entendez, rien à côté de la peinture abstraite” dit Tonton à Alphonse, dans le film “la Métamorphose des Cloportes”. Aujourd’hui on pourrait dire : “Sur le plan de l’arnaque, la peinture abstraite n’est rien, vous entendez, rien à côté des NFT.”

Les œuvres numériques sont un cas d’usage parmi d’autres en effet, mais cet exemple a l’avantage d’être assez parlant et de bien montrer la faiblesse actuelle des NFT, à savoir le difficile lien entre la partie technologique et la partie juridique : on aurait exactement les mêmes problèmes avec l’authentification d’un diplôme, le suivi logistique, la vente de tickets ou autre, les NFT actuels n’apportant aucune avancée sur le cadre juridique.

En ce qui concerne le Web 3.0, il n’existe pas vraiment de définition aujourd’hui mais ce concept est souvent vendu avec l’idée de décentralisation, les NFT étant censés y aider. Or, au vu des mécanismes décrits dans l’article, on voit que seule une toute petite partie est véritablement “décentralisée”, et que les tiers de confiance (les “notaires”) qu’on est censé éliminer sont remplacés par des acteurs privés qui de facto sont les seuls dépositaires des actifs.

C’est une très bonne chose que le Cigref et l’ANSSI s’intéressent au sujet. Sur le concept de Zero Trust, c’est une idée apatride et surtout un mode d’architecture de sécurité qui n’est pas lié à des outils, on peut donc penser que les réflexions issues des discussions avec des entreprises anglo-saxonnes restent globalement pertinentes.

Mais cela reste un objectif difficile à atteindre car la tentation sera souvent de remplacer les sécurités existantes par les nouvelles, issues de cette architecture, avant que ces nouvelles protections ne soient suffisamment déployées et éprouvées. Exemple : on enlève les firewall périmétriques parce qu’on fait du Zero Trust. Selon moi, le Zero Trust devrait compléter les architectures existantes, devenues insuffisantes face à la professionnalisation des attaquants et la sophistication des attaques.

Un mot sur la biométrie : les puces de sécurité sont efficaces, mais la biométrie c’est plus du confort que de la sécurité

Pas possible : je viens encore de recevoir un mail qui me dit qu’il faut investir dans Libra. C’est une fake news.

(reply:1927104:eglyn) Ici non le système n’a que l’apparence d’un vrai site, pas comme dans d’autres systèmes utilisant les pyramides de Ponzi, par exemple. Le but du premier virement réel est de mettre en confiance l’utilisateur.

(reply:1927102:darkweizer) Zut je me rappelle plus mais c’était un message normal (genre est-ce que je peux changer de 2FA) pour voir s’ils poussaient le bouchon jusqu’à répondre, mais sans éveiller l’attention si jamais c’était vraiment lu.

(reply:1927100:alex.d.) C’est une question d’éthique. Bien que ça ne soit pas compliqué, je préfère ne pas diffuser largement le procédé, car CloudFlare permet entre autres de cacher les adresses IP réelles des sites. Ainsi, un pirate peu qualifié qui chercherait à faire un DDoS sur un site web (légitime) utilisant CloudFlare sera arrêté par CloudFlare. Mais s’il dispose de l’adresse réelle, il pourra taper directement. Autant éviter, même si ça n’arrêtera pas quelqu’un ayant quelques connaissances en la matière.

Tu ne peux pas : c’est leur fameux mécanisme SaveProTM….

Ils vont retirer les coins arrondis des fenêtres et remettre un design avec des fenêtres rectangulaires comme avant ? J’ai installé Win 11 sur mon PC portable mais quand j’avais vu l’apparence du truc, j’ai fait un retour arrière sur Win 10 tellement c’était moche et surtout incohérent. Et on ne peut même pas choisir ça dans un réglage d’apparence. Dommage, il y avait des fonctionnalités qui m’intéressaient.

Je rempile Je parlerai de la crise de la cinquantaine, môa.

Précisons : un algorithme n’est pas forcément du machine learning (ou de l’IA), loin de là. Par contre du machine learning, c’est toujours de l’algorithme. Pour paraphraser deathscythe0666, il serait beaucoup plus juste d’utiliser le terme “algorithme” pour du ML/IA que les termes ML/IA pour ce qui n’est qu’un algorithme tout ce qu’il y a de plus classique. Or effectivement ça n’est pas vendeur, donc on colle aujourd’hui l’étiquette ML/IA à n’importe quel algorithme, même simplissime, du moment qu’il brasse un grand nombre de données. Sauf que souvent ces données sont elles aussi simples, très structurées, et donc très loin de ce que l’on imagine être de l’intelligence artificielle.

Pour illustrer, quand on va allait dans les salons professionnels, il était devenu inconcevable de ne pas avoir l’un de ces mots (intelligence artificielle ou machine learning) sur son stand, ses plaquettes et ses slogans. Et dès que vous alliez discuter avec les représentants sur le stand, en leur demandant le fonctionnement de leur truc, on s’apercevait qu’il s’agissait la plupart du temps de fonctions basiques relevant d’algos traditionnels.

D’un point de vue personnel, je vois aussi mis en valeur des réussites de programmes de ML/IA. Mais quand on creuse, s’il est indiscutable que ces programmes donnent des résultats corrects, on se rend compte qu’on aurait obtenu les mêmes résultats de façon plus simple et plus efficaces avec des algos traditionnels mais avec un peu de réflexion et de conception au préalable.

J’ai peur qu’on ne s’en remette à des programmes d’IA le plus souvent par effet de mode et par paresse, en laissant le système “deviner” ce qu’on souhaiterait, avec souvent un résultat correct au prix d’un gaspillage formidable de ressources (CPU/RAM/disque/électricité) avec le risque supplémentaire de biais parfois très difficiles à rattraper. S’il est vrai qu’en théorie on peut corriger un algo qui déraille ou qui reproduit les biais humains, je suis pessimiste sur le fait que cela soit si simple que cela.

oui, ATOS est une ESN, tu as raison, mais je n’ai pas dit “entreprise du secteur industriel” et on peut lire sur larousse.fr :

industrie nom féminin (latin industria, activité)
…

1. Toute activité économique assimilable à l’industrie : L’industrie du spectacle, des loisirs.


2. Activité organisée de manière précise et sur une grande échelle (souvent péjoratif) : L’industrie du crime.
   …

Avec 105 000 employés on peut se permettre ce genre ce licence…

Bon c’est moi qui la fait : “Atos dévisse, hélas, c’est là qu’est l’os”.

Néanmoins c’est toujours assez curieux de voir qu’une entreprise industrielle qui a des difficultés chute en bourse alors que des startups et autres licornes qui n’ont aucune modèle économique et parfois aucun revenu sont valorisées à des sommets. Il y a un paradoxe : on dit que pour les startup c’est le “coût de démarrage” et qu’elles seront profitables dans le futur, ce qui est purement hypothétique (et souvent infondé) alors que des sociétés ayant une activité établie est sanctionnée immédiatement, quelles que soient les perspectives futures.

Un tantinet cynique, le Flock. Bonne année bon courage à tous pour 2022 !

Effectivement, l’extension de l’usage du multifacteur va générer l’extension de méthodes de contournement par les fraudeurs. J’ai parcouru (en diagonale) le document original, mais il me paraît un peu insuffisant, au sens où il manque certaines précisions ou certaines conditions.

Tout d’abord les MITM ne sont pas les seules formes d’attaques contre les 2FA : des malwares comme TinyNuke utilisent depuis longtemps (hélas) du MITB (Man In the Browser), c’est-à-dire que le “proxy” est localement installé sur le poste de la victime. Mais c’est un détail. Plus important : le papier n’indique pas clairement les vrais enjeux ni les moyens de sécurité impliqués. En effet, je crois comprendre que, du côté des MFA, sont visés les facteurs d’authentification où l’utilisateur doit saisir un code de vérification (SMS, Google Authenticator, etc.). Ces moyens sont en effet sensibles à ces attaques, mais pas d’autres dispositifs comme FIDO où même un attaquant en position intermédiaire ne peut rien faire dans le cas d’une authentification (ça n’est pas la même chose dans le cas de la validation d’une transaction, par exemple, mais c’est assez long à expliquer).

Donc les facteurs visés et attaquables sont ceux où l’utilisateur doit saisir un code de confirmation sur le même canal et non sur un canal distinct (ce qui est plus sûr, bien que plus complexe à mettre en œuvre).

Sinon, le second levier est le vol du cookie. Et là, quelle que soit la méthode d’authentification, même la plus parfaite, celui qui détient le cookie (d’authentification) détient le pouvoir. Donc une attaque MITM qui peut voler le cookie peut donc attaquer quasiment n’importe quel système d’authentification, mais le problème réel ne sera pas forcément dans l’authentification elle-même mais dans cette gestion du cookie qui est le point le plus critique. Et là, ce n’est plus le 2FA qui est en cause, mais le cookie.

Ca monte, ça monte…

Une librairie est bien une bibliothèque, et les logs sont des journaux.

voui, voui, à une différence près : log est le terme anglais correct, alors que librairie est un anglicisme, d’usage incorrect. Soit on dit library, soit on dit bibliothèque. Je ne suis pas opposé à l’anglais, je suis opposé aux anglicismes. Nuance.

Moi aussi !!

(reply:1919139:Sheepux)
J’ai aussi regardé sur mon petit serveur perso et effectivement il y a des traces à partir du 10. Je ne m’inquiétais pas plus que cela car tout est en PHP (comme chez Facebook, qui est une des rares grandes sociétés qui semble ne pas être touchée). Après, mettons-nous à la place d’un attaquant (mafia, état) qui aurait connaissance de la faille avant la divulgation : je n’aurai pas arrosé tout partout pour attaquer avec celle-ci, car elle ne serait pas restée secrète très longtemps. Donc il est possible que des attaques aient eu lieu avant le 9, mais beaucoup plus discrètement. On en apprendra peut-être plus dans quelques temps.

Je parlais des signalements publics, je n’ai pas (encore) accès aux logs de ta boîte Sérieusement, je n’ai pas (pour l’instant) vu passer de publications signalant des attaques plus tôt, mais on risque de faire encore pas mal de découvertes, la faille a très bien pu être exploitée par des équipes bien renseignées avant même la publication officielle. Et à partir du 9, c’est devenu open bar… Mais félicitations à la fois pour le filtre et pour avoir vu aussi vite des traces d’attaques !

C’est vrai… EKS peut aider (à condition que plusieurs fournisseurs offrent ce service, mais c’est le cas pour AWS/GCP/Azure, donc tout va bien). Quant aux pics d’activité, c’est une justification fréquente. C’est souvent une bonne idée, mais pas systématiquement. Il faut bien calculer son coup (coût), car aller dans le cloud peut aussi imposer des mesures de sécurité supplémentaires, surtout depuis le RGPD (ex : hyperviseurs dédiés, qui coûtent un bras). J’ai déjà vu des “business case positifs” s’avérer de moins bonnes affaires que prévu.

Sur l’adhérence avec le fournisseur, le problème est épineux. Aller dans un cloud public n’est avantageux que si les applications utilisent “nativement” les services cloud du fournisseur, comme par exemple les services de provisionnement et de déploiement. Or si vous voulez garder la possibilité de déployer de façon indépendante du fournisseur, il faut en général monter une usine à gaz pour déployer vos applis, ce qui fait perdre en agilité et augmente les coûts, ce qui au final diminue fortement l’intérêt d’aller dans le cloud. En résumé : pour se défaire du “lock-in vendor” (adhérence), il faut perdre une partie du bénéfice d’aller dans le cloud et augmenter les coûts alors que la réduction des coûts est souvent vendu (à tort) comme argument de passage au cloud.

Je n’arrête pas de dire chez moi : la clé, c’est l’interopérabilité. Normalement ça fait partie des objectifs de Gaia-X, mais bon…

Côté mémoire, je parlais du côté du stockage, pas du calcul (le fichier décompressé étant plus gros que l’original).

Donc a priori beaucoup moins de CPU mais un peu plus de mémoire nécessaires ?

Citation en informatique : “Un projet qui commence à l’heure finira en retard. Un projet qui commence en retard finira en retard.”

Donc le contrôle de VKontakte passe directement du FSB au Kremlin ?

Et les ordinateurs quantiques : on a une idée ? Je serai très curieux de savoir combien ça consomme ces machins.

L’idée est intéressante, mais en pratique ça va donner n’importe quoi. Par exemple, un nutriscore est basé sur une recette donnée, avec les connaissances qu’on a sur les ingrédients. Cela bouge assez peu en général, et surtout on n’a besoin d’aucun contexte. En cybersécurité, ça bouge tout le temps, et cela dépend énormément du contexte (composants utilisés, architecture, code, etc.), sans compter qu’il est rare de connaître tous les “ingrédients”. Un audit par un prestataire agréé va coûter cher et ne sera valable que pour un périmètre donné, à un moment donné, sachant qu’une modification très mineure peut parfois entraîner une énorme faille de sécurité. On va vite se retrouver avec sites qui vont se faire trouer avec un score A, ce qui va générer une perte rapide de crédibilité pour ce cyberscore. En plus j’imagine très bien Google se faire auditer par Thalès…