Le protocole PGP (pour Pretty Good Privacy) sert dans de très nombreux domaines pour assurer la confidentialité et l'authentification des données.
Il sert par exemple dans les logiciels de mail pour signer ses messages et assurer leur provenance.

Des chercheurs en sécurité ont découvert une faille dans cette dernière utilisation (merci yponomeute).

Il faudra donc que des correctifs soient rapidement proposés par les éditeurs utilisant cette solution.

[MàJ] Une mise à jour de GPGTools permet de corriger cette faille sous macOS.

Lien vers le billet original

Sachant qu'un chercheur en info ça bosse presque tout seul, j'imagine qu'une fine équipe de la NSA avec budget infinie et hardware spécifique (informatique militaire donc sans aucun doute des CPU/GPU bien plus avancé que ce qui équipe les machines grand publique) l'ont trouvé depuis fort longtemps et s'en donne à cœur joie...

Il y a aussi la faille touchant tout les gros os windows/linux/osx sur le 64 bit avec accès total à la mémoire et autre escalade de droit qui doit être bouché depuis quelque jours.

Heureusement que les fous de dieu ne sont pas très doué en informatique plus le temps passe plus tout s'informatisent et plus un hack peut avoir des conséquences désastreuses...

edit : bon plus une faille d'implémentation que de math c'est déja ca!

Ce message a été modifié par otto87 - 14 May 2018, 10:10.

Protéger sa correspondance électronique c'est mission impossible. Il faut la protéger sur son propre ordinateur et aussi la protéger sur l'ensemble des ordinateurs des personnes avec qui on correspond. Or il n'est pas possible d'avoir la maitrise de la sécurité des ordinateurs de ses correspondants (et je ne parle pas de la fiabilité du correspondant qui peut décider de dévoiler ce qui lui a été envoyé).

Je me pensais (à peu près) en sécurité avec la suite GPG Tools. Ben... fume.

Pffff ! Quelle plaie tout ça !

Bonjour,
Quand j'envoie à un client une offre de prix, je ne souhaite pas que mes autres clients (concurrents de ce client) les connaissent. Donc j'ai tout intérêt à chiffrer mon offre. Après si mon client se vante des prix que je lui ai accordés, c'est son problème. Il y a une pub ou l'homme dit à madame : << Je vais leur dire à quel taux j'ai eu mon prêt, ils vont en rêver >>, puis il revient, (comme on dit : la queue entre les jambes) ils avaient eu un meilleur taux que lui.

Ce qui serait gênant c'est qu'ils connaissent les prix proposés à leurs concurrents, durant la négociation pour la saison à venir (Textile), avant que tout soit finalisé. À l'époque je pense que certains représentants étaient capables de fouille les poubelles de l'entreprise pour récupérer des infos, et on n'utilisait pas le courriel mais le télex.

J'ai une question : PGP, c'est aussi utilisé avec SSH non ?

C'est généralement le cas, et là ça n'est pas dans le logiciel PGP lui-même mais dans des implémentations tierces.

Et la conséquence c'est que tous les emails chiffrés précédemment échangés sont désormais exposés, j'espérais que ça n'arrive jamais, mais on est dans le cas qui explique pourquoi la NSA stocke une grosse partie de ce qu'elle ne peut -encore- déchiffrer, en attendant une avancée pour le déchiffrer les doigts dans le nez.
Le truc bizarre est que ça soit lié au déchiffrement automatique des emails chiffrés, je me demande ce qu'il s'est passé!

@Ze Clubbeur: PGP et ssh n'ont rien à voir, pas de crainte là-dessus, pour ssh ils ont d'autres types d'attaque!

Ce message a été modifié par iAPX - 14 May 2018, 11:30.

Jette un œil ici.


C'est bien ce qui fait flipper.

Donc, la réponse est oui...
On va donc avoir droit des mises à jours de OpenSSL et autres dépendances d'ici peu...

Pour les mails, faut pas non plus exagérer. À moins d'avoir une correspondance confidentielle ET d'être intéressante, les agences à 3 lettres n'ont que faire de ces mails.

Ce message a été modifié par Ze Clubbeur - 14 May 2018, 11:37.

Avec l'extraterritorialité des lois US (aka la loi du plus fort sur du papier ), ça pourrait réserver des surprises à bien des entreprises...



C'est juste que tu n'a pas assez d'imagination sur tout ce qui peut être intéressant...
Si tu avais la moindre idée de ce qu'on peut faire avec Palantir et du champ d'application tout azimut qui va avec...
Un petite explication par un intervenant de science po peut aider

Edit : il ne faut pas oublier que ce qui est annodin maintenant ne le sera peut être plus dans quelques années tout en sachant que les grandes oreilles gardent les infos sur la durée...

Ce message a été modifié par otto87 - 14 May 2018, 12:02.

Hum ils le sauront une fois qu'ils les auront lu.

Car que les plug-in pour PGP sur 3 grosses plateformes soient affecté d'une bug n'existant pas sur les outils séparé, ça ne serait étrange que si la "bug" d'implémentation n'avait pas été orchestrée, comptant sur le confort apporté aux utilisateurs pour qu'ils utilisent par eux-même ces malware

PS: je subodore que ça soit le stockage en clair des emails chiffrés envoyés qui soit un problème en cas d'analyse ultérieure de l'ordinateur (au hasard douanes US ou accès à distance via une backdoor).

PS 2: @otto87 vu cette vidéo et même contacté Fabrice (avec une histoire drôle à la clé), il est très bon!

Ce message a été modifié par iAPX - 14 May 2018, 12:22.

Et l'envergure nécessaire pour ne pas être balayé d'un revers de main par un forumeur
Très bonne intervention sur les fakes news de macron, y a certains passages qui sont très bons du genre :
"- C'est quoi la définition d'une fake news?
- Une information qui gêne le pouvoir."

En même moi je dirais que c'est plutôt une redécouverte car je suis bien certain que les fameux services à 3 lettres et le reste l'ont déjà découverte depuis belle lurette

sauf que des sa première phrase il annonce son biais de pensée.
Le meme qu'on retrouve chez vous et iAPx, qui dit en gros: mieux vaut que l'on ne puisse lire les contenus de personne, point barre (car dans ce biais là il y en a un autre plus subtil: croire qu'une décision de justice est applicable techniquement est un leurre).
La réalité sera : Ce sera soit tout ouvert, soit tout fermé. Perso je suis pour le tout ouvert, non pas qu'il soit plus sur mais de toutes façons il y aura toujours moyen de cacher pour les groupes spécialisés et toujours moyens de percer les secrets pour les mêmes ou d'autres groupes spécialisés.

Donc ce monsieur qui cumule les jobs de vulgarisation n'expliquera qu'une face de la médaille, sans doute vraie mais pas complète.

Ce message a été modifié par raoulito - 14 May 2018, 13:16.

Il y a une grosse différence, à la fin des années 90, aborder ce genre d'agence relevait de "la théorie du complot". Heureusement Snowden et d'autres ont sorti les preuves. Lui aussi à sa manière .

@raoulito : le tout ouvert, ça veut dire que seul les plus puissants pourront passer outre. Je doute que ce soit la bonne solution. En miroir ca me fait penser au banquier qui doit maintenant signaler les gens qui font trop de dépôts en liquide pendant que ceux qui ont imposé ce genre de lois se ballade avec des valises de billets.

Ce message a été modifié par otto87 - 14 May 2018, 13:27.

pas faux en effet.
Meme si je crois que les valises ne sont pas déposées en france

Tu m'envoies tous tes emails reçus et envoyés, ainsi que tout le contenu de ton ordinateur?
Mieux, ouvre un compte administrateur avec accès ssh (ou similaire), et donne-nous ton adresse IP et ton mot-de-passe.

Sois ce que tu dis

https://www.franceinter.fr/emissions/la-fac...e-03-avril-2017

Eh ?
Quand on te pose une question qui te chagrine tu bottes en touche ?

Thème d'anticipation de The Circle, pas sûr que cela souhaitable. En tout cas, cela fait peur, non?

Enfin il y a une légère différence entre un truc type page blanche sans liste noire et la transparence totale. PS : met une webcam dans tes toilettes comme dans les autres pièces de ta maison, puisque tu n'as rien à cacher

D’ailleurs pas mal de pédophiles sont très heureux des nouvelles générations connectés qui publient tout dés le plus jeune age. Il ne manque plus que l'annuaire suédois étendu au mineur et les quelques lois en préparation sur la révision de l'age de la majorité sexuelle et le tour est joué

Ce message a été modifié par otto87 - 14 May 2018, 14:37.

ben non voyons ? je montre que même la transparence de base on en est extrêmement loin en France ou au Canada (ou ailleurs)
en fait vouloir se protéger (soit-meme et ses secrets) prouve une méfiance permanente les uns des autres et ca date pas de la NSA..

Ce message a été modifié par raoulito - 14 May 2018, 14:34.

Ce n'est pas de la défiance, c'est juste la notion de vie privée qui semble t'échapper... on croirait un jeune actuel...
Tu es du même avis que le FBI et tant d'autres qui voudrait accéder à tout. Alors même que ceux qui veulent ce genre de chose pour les autres comme zukerberg se cache justement...

Ce message a été modifié par otto87 - 14 May 2018, 14:42.

exactement, d'où l'exemple de la suede, totalement inimaginable de ce coté-ci de la mer baltique. et pourtant c 10% de ce que je définirais comme "ouverture"
pour vous, cet exemple suédois est-il ne serait-ce qu'envisageable demain chez vous ?

Ce message a été modifié par raoulito - 14 May 2018, 15:24.

Tu peux bien « montrer » ce que tu veux « de base », tu ne fais que tenter de noyer le poisson et éviter de répondre à la question très claire qui t'a été posée, et qui visiblement te dérange car en plus tu l'as supprimée de ta pseudo réponse !

Petit rappel :

Moi je dirais : Sois cohérent et honnête !
Cohérence : Fais ce que tu dis !
Honnêteté : Ne supprime pas les questions qui te dérangent en faisant semblant d'y répondre et en espérant qu'on va les oublier !

Ce message a été modifié par marc_os - 14 May 2018, 15:56.

Bonjour à tous,
Dans cette vidéo Fabrice Epelboin cite l'accident de navette causé par un morceau de la couche de protection qui s'est détaché et a détruit un réservoir. Il fait une confusion regrettable entre l'accident de Challenger provoqué par la défaillance d'un joint d'un booster à poudre (à cause du froid, problème connu.) qui, laissant échapper une flamme, a fait exploser le réservoir d'hydrogène principal fixé sur le ventre de la navette et l'accident de Columbia provoqué par l'endommagement des tuiles de protection d'une aile par un morceau d'isolant de la taille d'un porte-document qui s'est détaché au décollage. Ceci a provoqué l'intrusion de plasma dans l'aile lors de la rentrée dans l' atmosphère et donc la destruction de la navette.
Voilà. par contre c'est une intéressante vidéo.
Bonne soirée.
Voir ici : https://fr.wikipedia.org/wiki/Accident_de_l...atiale_Columbia
Et là : https://fr.wikipedia.org/wiki/Accident_de_l...iale_Challenger

La réponse est non.

Monkeysphere utilise OpenPGP pour gérer des clés SSH et permettre de vérifier leur authenticité. C'est une fonctionnalité complémentaire à ce qu'offre SSH.
Mais SSH lui même, il n'utilise pas PGP.

Cette faille n'affecte donc pas SSH, ni OpenSSL.

Et il se pourrait qu'elle n'affecte même pas l'utilisation qui est faite de PHP dans Monkeysphere : la faille semble ne toucher que l'utilisation de PGP pour le chiffrement des mails, et encore, seulement avec certains clients mails (par exemple, pour PGP, Thunderbird et Apple Mail sont touchés, mais pas les versions d'Outlook supérieures ou égales à 2010).

Ça y est on en sait plus sur le problème: c'est la gestion des emails contenant du HTML qui peut amener l'exflitration de données par manque d'isolation des clients Email eux-même (moins un problème de plug-in que de client Email pourris), ce qui est plutôt amusant quand on sait que maintenant le client Email est le premier responsable de la sécurité de tous nos comptes via le beau formulaire de "Reset Password" disponible partout!

Ça amène quand-même d'incroyables questionnement sur la protection vraiment apportée quand il suffit d'une faille dans la pile des logiciels qu'on emploie pour compromettre l'ensemble, notamment pour les personnes qui sont des opposants politiques, des whistleblowers, qui suivant le point-de-vue peuvent être nommés tout autant "terroristes" que "résistants" (tout est une affaire de point-de-vue, l'Histoire jugera), et dont l'espérance de vie peut être franchement diminuée avec ce genre de bévues!

mais quéquidit le monsieur ?

à iAPx qui me demande toute ma correspondance, je montre un pays ou sur n'importe quel site je peux avoir ton nom, date de naissance numero de secu, montant du salaire, personnes vivant avec toi, signe astrologique, allocations reçues et dernière déclaration d'impôt et j'en oublie.

Moi je te dis à toi Marc_os, ait donc le courage en premier de reconnaitre que tu serais parfaitement et totalement incapable de partager ne serait-ce que ton nom, même plongé dans ce pays ou un ministre en passe de devenir la première, démissionne car elle a ete contrôlée par la police avec juste la limite d'alcoolémie

vas-y donc reconnait que ca c'est au dessus du maximum imaginable que la pathétique paranoïa qui dirige tes actes et surtout tes pensées t'autorise à envisager ?
et ensuite, je verrais avec iAPx pour envoyer la totalité de mes emails (toujours étant que je sache comment faire d'ailleurs)

Ce message a été modifié par raoulito - 14 May 2018, 20:26.

Enfin du bon sens, te voilà prêt à mettre ici toutes ces informations (et tes emails, entre autres), puisque tu n'as rien à cacher du tout, et que tu ne crois pas au droit à une vie privée et la protection de celle-ci, ça me fait plaisir