Les voitures Street View ont enregistré des mails, Réactions à la news du 18/06/2010

[Lionel]

Il y a quelques semaines Google a avoué avoir "par erreur" collecté à l'aide de ses véhicules Street View des données provenant des points d'accès Wi-Fi ouverts. Selon Google, ces enregistrements ne contenaient pas d'informations personnelles. La CNIL a tenu à s'en assurer et a enjoint Google de lui communiquer ces enregistrements comme la loi leur en donne le pouvoir. Après s'être fait tirer l'oreille, Google a fourni ces logs et la CNIl a constaté qu'il y avait bien plus que ce qui avait été annoncé. Ils y ont découvert de nombreuses informations qui ont transité en clair comme des mots de passe mail ou encore des contenus de message.
Google risque assez gros dans cette histoire même si le fait d'avoir avoué leur faute plaide en leur faveur.


Nous en profitons pour vous rappeler quelques règles élémentaires:

• Sécurisez au mieux vos réseaux Wi-Fi. Si vous décidez de les laisser ouverts, sachez que quiconque pourra voir tout ce qui transite dessus tant que ce n'est pas chiffré (pages web, parfois mails, échanges de fichiers entre machines...)
• Lorsque vous vous connectez à un réseau ouvert, ou un réseau de café/restaurant dans lequel on vous aura fourni un mot de passe, il en ira de même tous ceux qui auront aussi accès à ce réseau pourront "sniffer" ce que vous faites.
• Pour vous prémunir au maximum dans ces derniers cas, utilisez une boîte mail acceptant les connexions SSL aussi bien pour la relève que pour l'envoi de vos courriels.
• Si vous voulez réellement être protégé au mieux (ce que nous faisons), utilisez un VPN pour toutes vos connexions Internet). Ainsi, si quelqu'un est à l'écoute de votre machine, il ne verra que des données chiffrées transiter.

Certains verront dans ce que nous vous conseillons de la paranoïa. Nous pensons plutôt que c'est de la prudence élémentaire dès lors que l'on considère que l'usage que l'on a de son ordinateur doit rester confidentiel.

Par Lionel

[Lionel]

Exact. Il faut se connecter à un serveur VPN sécurisé qui va créer entre vous et lui un tunnel sécurisé puis servir de proxy.
Mais bon, c'est surtout valable pour ceux qui comme moi administrent des sites web, ont souvent des discussions ultra confidentielles et sont très prudents.
Pour le reste du monde, le plus important est de sécuriser ses accès mail en SSH.

Question : si on est connecté via un réseau type McDo, mais qu'on va sur un site en 'https', c'est sécurisé (modulo la confiance qu'on a dans SSL, j'imagine) ?

Concrètement je peux regarder mon compte en banque sans trop m'inquiéter ?

Oui, sans trop t'inquiéter. De toute façon les banques ont vachement verrouillé les systèmes de virement vers l'extérieur. A la BNP, je ne peux ajouter un bénéficiaire qu'après avoir reçu un SMS et rentré un code, et je peux le faire parce que j'ai auparavant fait valider mon numéro de mobile via un échange de courriers.

[wotanbaby]

Mais bon, c'est surtout valable pour ceux qui comme moi administrent des sites web, ont souvent des discussions ultra confidentielles et sont très prudents.
Pour le reste du monde, le plus important est de sécuriser ses accès mail en SSH.

Je connais, j'ai le même problème et la parano ne doit pas connaître de limites, parce qu'on n'est jamais assez sécurisé.
Le problème est que pour assurer une sécurité maximale (au niveau d'un courriel par exemple),
il faut un expéditeur et un récipient, tous les deux sécurisés..!

Au niveau sécurité, la mentalité de bcp fait peur...! J'ai compris que le plus gros danger ne venait pas de mon réseau de Macs,
mais des personnes avec qui je suis en contact. Si l'une d'elles est hackée, c'est toute la confidentialité qui est en danger!
Alors je passe mon temps à expliquer, éduquer, le pourquoi du comment il faut être sécurisé!
Un seul contact peut faire des dégâts irréversibles ! J'impose des règles très strictes, parfois je me mets en colère,
parce que certains sont fous!

Mais je ne veux pas jeter la pierre aux utilisateurs... L'utillisateur lambda est confiant et naïf dans les outils qu'il a à sa disposition.
Par contre, j'ai la dent violemment dure contre certains protagonistes qui laissent trop faire...
(Les messageries gratuites bien connues, les réseaux sociaux qui sont des abysses dépourvus de toute sécurité... to name but a few...)
La simple possibilité de pouvoir enregistrer un mot de passe "not strong" devrait être techniquement interdite !

Il y a qq mois, j'ai testé (white hat hacking) une base de données de 3000 utilisateurs -
En 8 minutes, 70% des clés MD5 pour les mots de passe étaient craquées!
Ça devrait faire froid dans le dos je pense !

Si on se réfère au générateur de FileGuard, il faut:
- 22 caractères (Lettres et chiffres) === 3Vw8EZdxaoaIDWRadGEPpL
- 20 caractères (Random) === D;aHym[dGQ8"zw9o5V,B
- 28 caractères (FIPS 181 compliant) === gjiihoeftabycetuawfowrymneyw

... pour atteindre un mot de passe VERY STRONG !!!
LE MOT DE PASSE EST LE PREMIER SOCLE DE LA SECURITE !
Et on sait que 70% d'entre eux se fracturent comme une vulgaire clé en plastique !!!