Discussion :

[Shadow aok]

Le problème c'est que même si tu n'es pas citoyen américain, comme l'entreprise est située aux USA, le Patriot Act s'applique.

Donc, le jour où ils veulent collecter des données ou faire de l'espionnage industriel, ils peuvent.

Le jour où les serveurs Apple/Dropbox se font hacker, si ce n'est pas chiffré, c'est dans la nature.
Idem si un employé indélicat ou en contentieux avec la société décide de se venger.

Et connaissant Apple, je ne me fierais jamais à leur parole.

[kolodz]

Bonjour Kolodz,

Je me permets de te répondre :
...

Merci. C'est agréable de voir que vous vous exprimez publiquement en votre nom propre. (sertan si tu regarde !)

Avant d'aller plus loin, je test votre application.

Lecture de la licence :

Bajoo ne saurait être tenu pour responsable des dommages causés à votre système informatique, de la perte ou de la corruption de données, ou d’autres dommages résultant de votre accès ou de votre utilisation des Services ou des Logiciels.

Service could. Rien de choquant, mais une piqûre de rappel ne fait jamais de mal
CUG :

Les présentes Conditions Générales d’Utilisation sont conclues entre Linéa SARL au capital de 100 €

Félicitation ! Et bonne chance !

La création du compte :
La région en obligatoire, c'était pas obligé.

Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Test du service :
Après fermeture du service, les fichiers sont toujours disponible en local et en clair.
Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.

Bien que je me sois pas en mesure de vérifier le cryptage des informations sur le serveur et que je ne remets pas en cause. Il reste cependant une grosse lacune de sécurité pour les utilisateurs en mobilité ou non.

Dommage que l'espace ne soit pas consultable depuis le site.
Partie compte en connexion HTTPS, par contre.

Donc, après test :

> La CNIL, avec qui on a fait valider techniquement notre projet avant de le mettre en place, notamment pour s'assurer de la légalité du chiffrement (il y a quelques années on était encore limité légalement sur les techniques de chiffrement utilisables).

La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Qui vérifie que Bajoo crypte réellement les informations ?
> La CNIL, avec qui on a fait valider techniquement notre projet avant de le mettre en place, notamment pour s'assurer de la légalité du chiffrement (il y a quelques années on était encore limité légalement sur les techniques de chiffrement utilisables).

Il existe encore des limites de cryptage. Edit : enfin sur l'import/export.
ASE donc osf

Quel est la clé de cryptage ? login/pass à 6 caractères ?
> La phrase secrète (passphrase) choisie par le client, phrase que nous ne connaissons pas. C'est au client de la choisir le mieux possible, pour s'assurer de ne jamais l'oublier, sans qu'elle soit trop facilement trouvable ou trop faible.

Pas de taille minimum pour la passphrase, ce qui la rend moins sûr pour beaucoup d'utilisateur.(Qui ne feront pas une passphrase)
Je me demande comment, l'application fait pour se resynchronisé sans me demander ma passphrase au re-lancement de l'application

Niveau technique pur :
J'aime les log applicatif... Sauf pour les applications de sécurité. Les logs genre :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
5
6
20:25:48 [BajooAuthenticatorHTTPS] SET Quota : DONE!
20:25:48 [Watcher] catching Created eventC:\Users\k\Documents\Bajoo\mybajoo\Rub al Khali.jpg
20:25:48 [Cmd] tools/bin/bjo.exe status --porcelain
20:25:48 [Event][mybajoo] Created 'Rub al Khali.jpg'
20:25:48 [Event][mybajoo] Changes found, checking if settled.
20:25:48 [Local][mybajoo] Checking...

En clair... Je trouve ça limite limite...

Pour information Rub al Khali, c'est un lieu sur Mars (google Earth(sur Mars))

Même si la partie stockage en ligne est sécurisé, le reste non...

Cordialement,
Patrick Kolodziejczyk.


PS :
Mes infos dans l'application c'est :

code postal : 01000
ville : Paris
région : centre

[bajoo]

Bonjour Kolodz,



Félicitation ! Et bonne chance !

Merci. En ce qui concerne le capital social c'est temporaire et il sera augmenté à la fin de la bêta.


La région en obligatoire, c'était pas obligé.

C'est obligatoire à cause du prestataire de paiement par CB, malheureusement nous n'avons pas le choix.


Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Nous allons prendre cette suggestion en compte.


Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.

Pas sur un PC fixe vu que tout se trouve sur votre session. Sur mobile par contre cela vous est redemandé sauf choix contraire.


Dommage que l'espace ne soit pas consultable depuis le site.

Vu que tout est chiffré, ce n'est pas possible pour le moment. Cela viendra peut-être plus tard par l'intermédiaire d'un applet Java mais nous avons d'autres priorités.


La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Je ne parle qu'en ce qui nous concerne mais nous leur avons présenté l'ensemble du côté technique de notre offre.


Il existe encore des limites de cryptage.

Je pense que pour ce qui est de casser de l'AES 256 ECB, on est quand même relativement tranquille. Non pas que ce soit impossible, mais absolument pas à la portée de grand monde.


En clair... Je trouve ça limite limite...

C'est temporaire, nous sommes encore en bêta test, et cela nous permet de corriger plus vite les bugs rencontrés. Cela ne sera bien entendu plus en place sur les versions finales.


Même si la partie stockage en ligne est sécurisé, le reste non...

C'est-à-dire ?



C'est avec ce genre de remarques que notre produit s'améliorera, c'est pourquoi nous sommes très attentifs à vos remarques.

Merci

[kolodz]

Bonjour Kolodz,

La région en obligatoire, c'était pas obligé.

C'est obligatoire à cause du prestataire de paiement par CB, malheureusement nous n'avons pas le choix.

Place le sur l'affichage de souscription payante, si c'est pour le paiement CB. D'ailleurs, je me souviens pas avoir donné ma région pour mes billets de train.

Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Nous allons prendre cette suggestion en compte.

Je conseil une phrase de minimum 32 caractères.

Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.


Pas sur un PC fixe vu que tout se trouve sur votre session. Sur mobile par contre cela vous est redemandé sauf choix contraire.

Ma session ? Tu veux dire que j'ai un cookie avec ma plassphrase dedans ?

Dommage que l'espace ne soit pas consultable depuis le site.

Vu que tout est chiffré, ce n'est pas possible pour le moment. Cela viendra peut-être plus tard par l'intermédiaire d'un applet Java mais nous avons d'autres priorités.

C'est juste que du coup, je ne peux pas vérifier le fonctionnement de l'application facilement =)

La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Je ne parle qu'en ce qui nous concerne mais nous leur avons présenté l'ensemble du côté technique de notre offre.

La CNIL laisse faire la compagnie "Trident Media Guard", malgré qu'il y ai eu plusieurs faille de sécurité majeur.

Il existe encore des limites de cryptage.

Je pense que pour ce qui est de casser de l'AES 256 ECB, on est quand même relativement tranquille. Non pas que ce soit impossible, mais absolument pas à la portée de grand monde.

Oui, fin aglo de cryptage classique. Disponible avec une machine Java SE par exemple.

En clair... Je trouve ça limite limite...

C'est temporaire, nous sommes encore en bêta test, et cela nous permet de corriger plus vite les bugs rencontrés. Cela ne sera bien entendu plus en place sur les versions finales.

Pour une application de sécurité, il n'y pas de temporaire pour la sécurité. Un log crypté avec un clé publique aurai suffit.

Même si la partie stockage en ligne est sécurisé, le reste non...

C'est-à-dire ?

La sécurité d'une donnée est relative à plus faible protection qu'on lui applique. Avoir une donnée crypté sur un serveur et non crypté sur les pc d'utilisateurs. Pour la sécurité, c'est comme d'avoir une informations non crypté. C'est un peu comme vouloir mettre son argent dans un coffre fort le soir, mais laisser son porte-feuille trainer sur son bureau pendant la pause déjeuner...
Ça sert juste à vendre des coffres fort. Le voleur lui, ça le dérangera pas.

C'est avec ce genre de remarques que notre produit s'améliorera, c'est pourquoi nous sommes très attentifs à vos remarques.

Merci

Sinon, impossible de se connecté avec Bajoo via un proxy qui demande une authentification :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
12:03:16 [BajooAuthenticatorHTTPS] BEGIN AUTHENTIFICATE 
12:03:16 [PostSubmiter] Catch WebException : The remote server returned an error: (407) Proxy Authentication Required.
12:03:16 [PostSubmiter] Throw response up
12:03:16 [BajooAuthenticatorHTTPS] Authentification : FAILED!

Je testerai malgré tout le coupe de la passphrase gardé en "session" en réinstallant le logiciel chez moi ce soir.
Et l'application affirme que mon login/pass n'est pas correcte...

[bajoo]

Place le sur l'affichage de souscription payante, si c'est pour le paiement CB. D'ailleurs, je me souviens pas avoir donné ma région pour mes billets de train.

Ce n'est pas réalisable pour des raisons techniques pour le moment.
On cherche à faire au plus simple donc en cas de paiement on prend les informations du compte, sans te les redemander.
On va juste voir pour changer ça avec notre prestataire.

Je conseil une phrase de minimum 32 caractères.

C'est trop long, la majorité des gens auront vite fait de l'oublier, ou alors ils la noteront sur un fichier texte, un bout de papier ou un post-it ce qui annulera l'intérêt du chiffrement.
Nous allons le fixer à 8 caractères.

Ma session ? Tu veux dire que j'ai un cookie avec ma plassphrase dedans ?

Non, je veux simplement dire que ton installation de Bajoo et toutes ses données sont dans le dossier de session de ton compte utilisateur.
Par exemple, le logiciel n'est pas dans "Program Files".
Donc qu'aucune donnée, chiffrée ou non, n'est accessible par un autre utilisateur de ton pc.

C'est juste que du coup, je ne peux pas vérifier le fonctionnement de l'application facilement =)

Le seul moyen de vérifier le fonctionnement réél d'un programme est d'avoir accès à son code source et ça ne va pas être possible

La CNIL laisse faire la compagnie "Trident Media Guard", malgré qu'il y ai eu plusieurs faille de sécurité majeur.

Je ne m'exprimerai pas sur le bien-fondé ou non de cette "loi". Ce serait trop long. Mais c'est un cas particulier.

Oui, fin algo de cryptage classique. Disponible avec une machine Java SE par exemple.

C'est ce qui nous permettra à l'avenir de proposer un accès web. Chaque chose en son temps

Pour une application de sécurité, il n'y pas de temporaire pour la sécurité. Un log crypté avec un clé publique aurai suffit.

C'est une bêta, donc à ne pas utiliser en production ou avec des données sensibles.

La sécurité d'une donnée est relative à plus faible protection qu'on lui applique. Avoir une donnée crypté sur un serveur et non crypté sur les pc d'utilisateurs. Pour la sécurité, c'est comme d'avoir une informations non crypté. C'est un peu comme vouloir mettre son argent dans un coffre fort le soir, mais laisser son porte-feuille trainer sur son bureau pendant la pause déjeuner...
Ça sert juste à vendre des coffres fort. Le voleur lui, ça le dérangera pas.

Les fichiers et le pc associé appartiennent à l'utilisateur, nous ne pouvons pas lui chiffrer ses propres données sur son propre pc.
De toute façon, si on le faisait, rien ne l'empêcherait d'en faire une copie à côté.
De plus, en cas de perte de sa passphrase, il n'aurait donc plus aucune copie accessible de ses données.
Et quant à espérer qu'il ait une copie sauvegardée à un autre endroit, inutile de compter le nombre de personnes dans notre entourage qui fait des backup malgré les recommandations que l'on peut leur faire ...
Donc non, c'est utopique, et on ne touchera pas aux données de nos clients.

Sinon, impossible de se connecté avec Bajoo via un proxy qui demande une authentification :

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

1
2
3
4
12:03:16 [BajooAuthenticatorHTTPS] BEGIN AUTHENTIFICATE
12:03:16 [PostSubmiter] Catch WebException : The remote server returned an error: (407) Proxy Authentication Required.
12:03:16 [PostSubmiter] Throw response up
12:03:16 [BajooAuthenticatorHTTPS] Authentification : FAILED!

Je testerai malgré tout le coupe de la passphrase gardé en "session" en réinstallant le logiciel chez moi ce soir.
Et l'application affirme que mon login/pass n'est pas correcte...

Pour configurer un proxy, tu es passé par l'application Bajoo ou par un autre moyen ?
Envoie-moi ton identifiant sur contact [AT] bajoo [POINT] fr, car je ne t'ai pas trouvé, avec les informations que tu m'as donné, dans la base.
Nous avons de temps en temps des demandes de suppression de compte, donc si tu as fait une telle demande, c'est normal que tes identifiants ne passent plus.

[kolodz]

C'est trop long, la majorité des gens auront vite fait de l'oublier, ou alors ils la noteront sur un fichier texte, un bout de papier ou un post-it ce qui annulera l'intérêt du chiffrement.
Nous allons le fixer à 8 caractères.

CQFD

Le seul moyen de vérifier le fonctionnement réél d'un programme est d'avoir accès à son code source et ça ne va pas être possible

C'est de faire des tests fonctionnels. Mais tu pense que dé-compiler une application est impossible...

Non, je veux simplement dire que ton installation de Bajoo et toutes ses données sont dans le dossier de session de ton compte utilisateur.
Par exemple, le logiciel n'est pas dans "Program Files".
Donc qu'aucune donnée, chiffrée ou non, n'est accessible par un autre utilisateur de ton pc.

Contre exemple simple : les dossiers utilisateur XP sont accessibles par tout les utilisateurs.

[bajoo]

C'est de faire des tests fonctionnels. Mais tu pense que dé-compiler une application est impossible...

Je n'ai jamais dit ça, je dis juste que nous n'ouvrirons pas le code source.