Discussion :

[Matthieu Vergne]

Tu te rends compte que c'est impossible tant que les utilisateurs sont administrateurs de leurs machines ?

Le but c'est d'empêcher les terroristes d'utiliser des solutions de chiffrement. Pour pouvoir les empêcher d'utiliser les logiciels qu'ils veulent il faut les empêcher d'être administrateurs de leurs machines. Il n'y a aucune autre alternative technique. Autant pisser dans un violon dans la mesure où il y a de nombreuses implémentations d'algos de chiffrement de qualité militaire fiables en opensource depuis 20 ans (affaire PGP).

Tu n'empêcheras personne de recompiler les sources et d'installer un binaire. A partir de là c'est mort.

J'ai bien dit que j'étais pas un expert.

Petit bémol : ça pourrait servir pour d'autres usages (accès privé multiple), donc ça ne contredit pas l'intérêt général de chercher.

L'approche française sur ce sujet est la suivante :



En gros, si tu fournis un moyen de chiffrement à un tiers, que tu possèdes la clef de déchiffrement et que ce tiers a commis un crime ou un délit, le tarif c'est maxi 3 ans de taule et 270K € amende.
Si un déchiffrement à priori aurait permis d'éviter le crime ou le délit on passe à 5 ans et 450K.

Notez le "pour quiconque ayant connaissance de la convention secrète de déchiffrement", si tu n'as pas la clef tu ne peux pas être accusé.

Vu que garder les clés veut alors forcément dire :
- soit les fournir au gouvernement sur demande et donc perdre ses clients et donc faire faillite
- soit ne pas les fournir et prendre le risque qu'un client fasse une bêtise et donc prendre à sa place (amende+perte d'image) et donc faire faillite

ne reste alors plus qu'à vendre des systèmes où on ne garde pas les clés. Ça va faire évoluer le marché en forçant les entreprises à prendre toujours moins de responsabilités du coup. Y'a pas une loi qui obligerait à garder cette fameuse "convention secrète de déchiffrement" ?

Une variante pourrait être de faire porter la responsabilité pénale sur le fournisseur de service, ce qui les forcerait à conserver les clefs. Ça ça serait déjà plus réaliste bien que totalement inefficace (il suffirait d'utiliser des softs maisons plutôt que des softs Apple par ex).

Donc même contre-argument que pour moi.

[sneb5757]

J'ai jamais dit que j'étais un expert du sujet (je ne le suis d'ailleurs pas). Mais je pense aussi que ce serait un sujet de recherche intéressant pour éviter justement que les particuliers ait l'obligation de fournir leurs propres clés, qui impliquerait :
- de mettre en place la logistique nécessaire pour les récupérer, y compris quand ils en changent,
- de devoir tous les stocker,
- de devoir s'assurer que c'est bien celle là qu'ils utilisent et pas une autre.

Mais le problème c'est l'entité qui les stocke. Aurais je en tant que particulier un droit de regard sur le système de sécurité déployé ? Parce qu'une vulnérabilité dans le système de stockage risque de mettre à mal l'ensemble de la confidentialité des communications. . De plus, Il y'a aucune raison de mon possède qu'un état dit de droit possède à tout instant la clé pour déchiffrer les communications de tout le monde. Le système actuel d'obligation de fourniture de la clé est raisonnable. Vous avez tord de réduire ça à un sujet de recherche informatique c'est un probléme de politique ( et de liberté fondamentale ).

Sinon dans le cadre d'échange TLS utilisant les algorithmes les plus récents, je rappelle que la connaissance de la clé privée ne sert pas à grand chose. Le mécanisme dit de "perfect forward secrecy" permet d'assurer la confidentialité des échanges du tunnel TLS même si la clé privée est compromise . On doit faire quoi dans ce cas ? Conservé la totalité des clés symétriques de session ? On interdit l'utilisation de ce genre d'algorithme en réduisant de se fait la sécurité des organisations ?

[Matthieu Vergne]

Il n'est pas question de réduire à ceci ou à cela. La politique est une chose, la technique en est une autre. La politique peut dire ce qu'elle veut, si elle ne dispose pas de la technique pour le faire ça ne sert à rien. De la même façon, si la technique offre des outils (qui à ce moment là sont tout aussi bien accessible pour de bonnes comme de mauvaises intentions), il convient d'en discuter les effets et les confronter aux valeurs qu'on souhaite mettre en avant. Il n'y a pas plus de raison de réduire le débat à de la technique seule qu'il n'y en a à le réduire à de la politique seule. Les deux sont importants et complémentaires.

[LSMetag]

Nota : pour réaliser une perquisition à domicile, il ne faut pas de mandat en France. Aux États-Unis, oui. En France, non.

En France, il faut SOIT l'accord d'un juge SOIT l'accord de l'occupant (sachant que un "oui, vous pouvez entrer" est un accord (débattable), la décision se portant sur la possibilité de laisser rentrer). Dans les deux cas, c'est un accord à priori, pas à posteriori. Cette condition saute uniquement en cas de flagrance, où là, la perquisition est possible de fait.
C
En état d'urgence (donc actuellement), ces prédispositions sautent et permettent plus ou moins n'importe quoi via les perquisitions administratives (qui ne passent donc pas par le pouvoir Judiciaire, mais par l'Exécutif).

Faux ! Sauf état d'urgence, il faut une Commission Rogatoire, équivalent du Mandat aux USA !

[LSMetag]

Il n'y a pas vraiment de bonne solution.

Car on peut très bien ne pas utiliser le chiffrement de bout en bout sur son appareil, mais que celui qui l'utilise ait un VPN.

Sinon j'aurais pensé que si le FAI pouvait donner l'IP publique de l'appareil, ou qu'un site internet puisse détecter cette IP au travers d'une session, un logiciel style TeamViewer pourrait se lancer. Ca ralentirait l'appareil et pourrait mettre la puce à l'oreille de certains, mais pas tous. Il suffit de modifier l'affichage de l'évaluation de la qualité du réseau.

[benjani13]

Sinon j'aurais pensé que si le FAI pouvait donner l'IP publique de l'appareil, ou qu'un site internet puisse détecter cette IP au travers d'une session, un logiciel style TeamViewer pourrait se lancer. Ca ralentirait l'appareil et pourrait mettre la puce à l'oreille de certains, mais pas tous. Il suffit de modifier l'affichage de l'évaluation de la qualité du réseau.

Hein? Mais qu'est-ce que tu racontes?

[Marco46]

Il n'est pas question de réduire à ceci ou à cela. La politique est une chose, la technique en est une autre. La politique peut dire ce qu'elle veut, si elle ne dispose comprend pas de la technique pour le faire ça ne sert à rien. De la même façon, si la technique offre des outils (qui à ce moment là sont tout aussi bien accessible pour de bonnes comme de mauvaises intentions), il convient d'en discuter les effets et les confronter aux valeurs qu'on souhaite mettre en avant. Il n'y a pas plus de raison de réduire le débat à de la technique seule qu'il n'y en a à le réduire à de la politique seule. Les deux sont importants et complémentaires.

On peut réduire le débat au seul technique lorsqu'on est en phase d'analyse. Ça ne sert à rien de voter une loi qui dit que la terre est carrée si elle est ronde en vérité. A ce stade de discussion on peut opposer des arguments techniques/scientifiques.

Il s'agit donc d'abord de comprendre de quoi on parle. Aller sur Amazon et commander un livre c'est utiliser le chiffrement de bout en bout.

Une fois qu'on comprend bien le cadre de la discussion (poser les définitions), là tu peux faire des débats pour savoir comment encadrer tout ça par la loi.

Ce principe de base de sagesse n'est pas respecté par les politiciens qui parlent à tord et à travers de choses qu'ils ne comprennent même pas d'un point de vue macro. Et en plus ils sont chargés de définir ce qu'on a pas le droit de faire. C'est formidable.

[Marco46]

J'ai bien dit que j'étais pas un expert.

Petit bémol : ça pourrait servir pour d'autres usages (accès privé multiple), donc ça ne contredit pas l'intérêt général de chercher.

T'inquiète pas, ça cherche grave !

[Hizin]

Faux ! Sauf état d'urgence, il faut une Commission Rogatoire, équivalent du Mandat aux USA !

Faux bis.

Je ne vais pas réécrire la loi, les sites du gouvernement sont assez bien foutu de ce côté-là : https://www.service-public.fr/partic...sdroits/F32326
En bref : la commission rogatoire n'est obligatoire que dans le cadre d'une information judiciaire.

Bref : rien de que ce j'ai écrit n'est faux. Si tu veux vraiment me reprocher un truc, tu peux dire qu'il manque un cas.

[LSMetag]

Hein? Mais qu'est-ce que tu racontes?

Le FAI, sur un ordi fixe, a l'IP d'une Box d'un particulier. Cette IP peut être ajoutée à une liste de surveillance. Si cette IP est détectée sur un site (qui est chiffré de bout en bout), alors peut-être qu'il pourrait être possible de lancer à distance une machine virtuelle sur l'ordi de cet utilisateur et voir ses mouvements (ou peut-être la fouiller si possible).

Mais ce dispositif ne doit pas être divulgué.

[Marco46]

Le FAI, sur un ordi fixe, a l'IP d'une Box d'un particulier. Cette IP peut être ajoutée à une liste de surveillance. Si cette IP est détectée sur un site (qui est chiffré de bout en bout), alors peut-être qu'il pourrait être possible de lancer à distance une machine virtuelle sur l'ordi de cet utilisateur et voir ses mouvements (ou peut-être la fouiller si possible).

Mais ce dispositif ne doit pas être divulgué.

Rien à voir avec le FAI. C'est de l'espionnage standard basé sur des troyens. Il faut avoir le contrôle de l'ordinateur cible pour faire ça. A partir du moment où tu as ce contrôle pour lancer ta machine virtuelle, tu n'as aucun besoin de l'intervention du FAI tu as accès à tout.

[benjani13]

Le FAI, sur un ordi fixe, a l'IP d'une Box d'un particulier. Cette IP peut être ajoutée à une liste de surveillance. Si cette IP est détectée sur un site (qui est chiffré de bout en bout), alors peut-être qu'il pourrait être possible de lancer à distance une machine virtuelle sur l'ordi de cet utilisateur et voir ses mouvements (ou peut-être la fouiller si possible).

Mais ce dispositif ne doit pas être divulgué.

Tu parle donc d'un malware/backdoor implanté dans chaque PC? Et pourquoi une VM (qui ne verrait rien du vrai système du coup)?

[Marco46]

C'est lui qui parle d'une VM je sais pas pourquoi.

[LSMetag]

Oubliez ce que j'ai dit, c'était une pure connerie !

[eomer212]

laissons les continuer à se branler la perruque. de toute facon ils font déja plus partie de l'europe, ils racontent n'importe quoi, et surtout, ils se reveillent en se disant. "et merde, le MI X ne va plus pouvoir nous protéger contre les enturbannés. QUEEN!! (panique en anglais, comme un cochon qui couine) "
bref, c'est du vent et un gros morceaux de conneries, avec déja 2 guerres de retard..
l'angleterre n'est plus et ne sera jamais plus ce qu'elle était.. et ca, ca doit leur piquer le derriere.
quand à nous, esperons seulement que nos députés soient un peu moins cons, ce qui n'est pas gagné d'avance. suffit de regarder lcp le mercredi pour déchanter..
mais pour en revenir à la technique, une seule possibilité pour ces adeptes du trou de serrure, les ordinateurs quantiques..
avoir la solution avant d'avoir posé la question, le reve pour un politique qui comprends rien à rien. mais alors me direz-vous, si la réponse arrive avant la question, qui saura à quelle question correspond la réponse.??
voila sans doute pourquoi ces merveilles quantiques mettent tellement de temps (quantique?) à arriver..

[Saverok]

laissons les continuer à se branler la perruque. de toute facon ils font déja plus partie de l'europe, ils racontent n'importe quoi, et surtout, ils se reveillent en se disant. "et merde, le MI X ne va plus pouvoir nous protéger contre les enturbannés. QUEEN!! (panique en anglais, comme un cochon qui couine) "
bref, c'est du vent et un gros morceaux de conneries, avec déja 2 guerres de retard..
l'angleterre n'est plus et ne sera jamais plus ce qu'elle était.. et ca, ca doit leur piquer le derriere.

L'Angleterre nous ait passé devant au classement de la puissance économique.

Côté militaire, ils ne sont pas en reste non plus.
Sans parler que eux, font partie des Big 5, raison pour laquelle ils n'ont jamais voulu faire partie d'Europol.
En même temps, comment peut on leur reprocher quand on voit les moyens d'Europol comparés à ceux de la NSA...

Le Brexit vient tout juste d'être annoncé mais il est encore loin d'être en place.
Il est encore beaucoup trop tôt pour savoir qu'elles en seront les conséquences réelles à long temps.
La bourse a eu un léger sursaut lors du vote mais elle est déjà stabilisée depuis et tout laisse croire qu'elle repartira à la hausse.

quand à nous, esperons seulement que nos députés soient un peu moins cons, ce qui n'est pas gagné d'avance. suffit de regarder lcp le mercredi pour déchanter..

ce sujet a déjà été discuté de très nombreuses fois lors de l'étude des projets de loi sécurité suite aux attentats.
On peut être sûr qu'il reviendra sur le tapis.
Nos députés n'ont rien à envier aux anglais.
C'est même souvent pire...

mais pour en revenir à la technique, une seule possibilité pour ces adeptes du trou de serrure, les ordinateurs quantiques..
avoir la solution avant d'avoir posé la question, le reve pour un politique qui comprends rien à rien. mais alors me direz-vous, si la réponse arrive avant la question, qui saura à quelle question correspond la réponse.??
voila sans doute pourquoi ces merveilles quantiques mettent tellement de temps (quantique?) à arriver..

+1

[Marco46]

Côté militaire, ils ne sont pas en reste non plus.

Ils ont démantelé leurs filières de production pour des raisons économiques et se fournissent quasi exclusivement chez les USA. Ca a son importance. La France fait partie des rares pays avec les USA, la Russie et la Chine qui maitrise elle même toutes les technologies et toutes les lignes de production de la totalité de son éventail d'armement.

Ça a quand même une sacrée importance !