Les voitures Street View ont enregistré des mails, Réactions à la news du 18/06/2010

[Lionel]

Il y a quelques semaines Google a avoué avoir "par erreur" collecté à l'aide de ses véhicules Street View des données provenant des points d'accès Wi-Fi ouverts. Selon Google, ces enregistrements ne contenaient pas d'informations personnelles. La CNIL a tenu à s'en assurer et a enjoint Google de lui communiquer ces enregistrements comme la loi leur en donne le pouvoir. Après s'être fait tirer l'oreille, Google a fourni ces logs et la CNIl a constaté qu'il y avait bien plus que ce qui avait été annoncé. Ils y ont découvert de nombreuses informations qui ont transité en clair comme des mots de passe mail ou encore des contenus de message.
Google risque assez gros dans cette histoire même si le fait d'avoir avoué leur faute plaide en leur faveur.


Nous en profitons pour vous rappeler quelques règles élémentaires:

• Sécurisez au mieux vos réseaux Wi-Fi. Si vous décidez de les laisser ouverts, sachez que quiconque pourra voir tout ce qui transite dessus tant que ce n'est pas chiffré (pages web, parfois mails, échanges de fichiers entre machines...)
• Lorsque vous vous connectez à un réseau ouvert, ou un réseau de café/restaurant dans lequel on vous aura fourni un mot de passe, il en ira de même tous ceux qui auront aussi accès à ce réseau pourront "sniffer" ce que vous faites.
• Pour vous prémunir au maximum dans ces derniers cas, utilisez une boîte mail acceptant les connexions SSL aussi bien pour la relève que pour l'envoi de vos courriels.
• Si vous voulez réellement être protégé au mieux (ce que nous faisons), utilisez un VPN pour toutes vos connexions Internet). Ainsi, si quelqu'un est à l'écoute de votre machine, il ne verra que des données chiffrées transiter.

Certains verront dans ce que nous vous conseillons de la paranoïa. Nous pensons plutôt que c'est de la prudence élémentaire dès lors que l'on considère que l'usage que l'on a de son ordinateur doit rester confidentiel.

Par Lionel

[iAPX]

Si on se réfère au générateur de FileGuard, il faut:
- 22 caractères (Lettres et chiffres) === 3Vw8EZdxaoaIDWRadGEPpL
- 20 caractères (Random) === D;aHym[dGQ8"zw9o5V,B
- 28 caractères (FIPS 181 compliant) === gjiihoeftabycetuawfowrymneyw

... pour atteindre un mot de passe VERY STRONG !!!

Avec 6.5bits d'information par caractère aléatoire, 28 caractères ça fait 182 bits d'informations que tu hashe avec du MD5 qui n'en sort que 128 (et encore il y a des boucles dans la génération, tu peux en enlever une tripotée!), donc ça ne sert strictement à rien

Sans aller jusque là, pour une bonne sécurité utilisateur, une dizaine de caractères aléatoire sont suffisant, ça fait 65bits d'informations. Et 12 pour les paranos comme moi (78bits d'information). Ça n'empechera pas d'ailleurs la NSA de le casser facilement, ou n'importe qui de s'y attaquer dans 10ans ou 20ans s'il a capturé les communications et qu'il attende juste que la technique suive, et surtout l'évolution de la recherche

Ou plus précisément, si les documents sur la mort de Kennedy avaient été encryptés en triple-DES, le protocole recommandé à l'époque par le gourvernement américain pour une sécurité maximale, quelqu'un qui aurait intercepté les documents encryptés à l'époque pourrait aujourd'hui les casser et les rendre publiques avec un laptop! Tout autant que n'importe quel document de sécurité de l'époque, sur la guerre froide et le nucléaire ou les transactions bancaires.

Ça devrait vous faire franchement froid dans le dos!