Prism : le chiffrement des contenus n'est plus une protection suffisante
Sécurité : La NSA a mis en la place il y a plusieurs années Bullrun, un programme clandestin pour casser la protection du chiffrement via l'affaiblissement des standards, l'introduction de backdoors et même le vol de clés de chiffrement.
Le chiffrement des communications et des documents n'est vraisemblablement pas une défense suffisante contre la surveillance des agences de renseignement, et en particulier la NSA.
D'après un article co-écrit par le New York Times, le Guardian et ProPublica, en partie sur la base de documents livrés par Edward Snowden, l'agence américaine aurait mis en place un programme clandestin, nom de code Bullrun, pour lever les obstacles que représente le chiffrement.
Actions clandestines sur les standards
Pour cela, la NSA aurait eu recours à plusieurs procédés, allant de l'intrusion informatique dans les serveurs de sociétés privées afin de dérober des clés de chiffrement, à la collaboration pour insérer des portes dérobées et l'ajout clandestinement de vulnérabilités dans des standards.
Le chiffrement le plus visé par la NSA est celui le plus souvent utilisé par les américains, c'est-à-dire lors de l'envoi d'email, l'informatique d'entreprise et les communications téléphoniques. Cela inclut donc SSL, VPN et sécurité des réseaux GSM, indique le NYT.
La NSA se justifie en invoquant la sécurité nationale et explique que le pays s'exposerait à des risques graves si les messages des espions étrangers, des terroristes ou autres ne pouvaient pas être crackés.
Le chiffre ne regroupe pas que les opérations de surveillance et d'attaque des réseaux, mais leur place croissante semble...
-
Sous couvert de "protection des citoyens", les USA grignottent un peu plus chaque jour les libertés individuelles. Le terrorisme (dont les USA sont en grande partie à l'origine) n'est qu'un pretexte.
vp_zdnet
Répondre
-
Eternel problème du pouvoir.
psheinkin
Répondre
-
Le seul risque réellement sérieux est celui de vol de la clé privée de chiffrement sur un PC, mais je me demande s'il ne serait pas possible de mettre celle-ci de façon inaccessible HORS du PC par un petit serveur auxiliaire genre Rasperry Pi ou Arduino qui ne serait accessible que pour des transmissions de données (nologin partout).
Paganel75
Répondre
-
C'est vrai qu'on n'en sort pas, mais on peut quand même tenter de limiter les dégâts potentiels, via un double mouvement: le cryptage, quand même, sachant qu'il est relatif (rien n'est jamais sûr à 100% dans ce monde, ma bonne dame!) et de l'autre des restrictions légales, instituées par des Etats qu'on cesserait, pour de basses arguties généralement boutiquières (i.e. le "libéralisme"), de réduire en morceaux.
MichelChel
Répondre
-
... evidement, c'est la consequence de l'effet "cloud", le second effet "kiss c**l" comme disait la pub.
Helios
Répondre
-
Cela depend du systeme d'exploitation , en France La Gendarmerie est passée a Linux pour creer ses propres outils de securité , aucune etude sur l'efficacité de leus outils bref encore une info qui ne dit pas tout ...
iwjcg
Répondre
-
Et on nous disait de nous méfier des produits réseau chinois qui pouvaient contenir des backdoor et autres cochonnerie... Maintenant il faut aussi se méfier des produits américains... Et surement se méfeir d'un peu tout le monde aussi...
Ysgawin
Répondre
-
Cela est en phase avec le fait qu'ils ont levé des restrictions (si je me souviens bien) sur l'export des technos de chiffrement.
joelinux
Répondre
L'exercice du pouvoir tend naturellement vers l'abus de pouvoir...
Reste à savoir si une filiale discrète de la NSA se sera pas justement la première à proposer ce genre de "protection"... avec une backdoor intégrée ! On n'en sort pas... :-(
A force de deleguer a d'autres, on s'aperçoit que les autres au mieux ne sont pas fiables, au pire sont eux mêmes les loups!
Le niveau de securité, la "securité" donc doit etre proportionnelle a l'enjeu.
-- pour des communications domestiques le niveau actuel est largement suffisant, avec tier de confiance, même si la NSA y accede, elle n'a rein a faire de la liste de vos courses.
-- pour votre communication professionnelle vous devez utiliser des moyens plus efficaces et vous ne pouvez faire confiance a personne, surtout pas a ceux qui vous vendent la securité que vous entendez comme "votre" securité mais qui est en fait "leur" securité.
Vous devez utiliser des des algorythmes complets sans cle publique et dont le chiffrement se fait au moins sur 2048 bits, histoire de mettre un peu d'air entre vous et ceux qui chercheront a casser vos messages. Le point faible est la communication de cles, mais c'est plus de l'organisation qu'autre chose.
-- enfin, si vos echanges sont vraiment importants, le vraiment est a bien definir, on n'utilise plus internet ou les reseaux publics electroniques, on prend l'avion, avec sa mallette.
-
@Helios : D'accord... à ceci près que les communications domestiques ne se limitent malheureusement pas à donner la liste des courses.
pépé75
Répondre
En effet, elles véhiculent aussi assez souvent des indiscrétions sur des sujets confidentiels, ou des informations apparemment anodines pour ceux qui les échangent mais intéressantes pour ceux qui savent les recouper et les exploiter.
Sans parler de ceux qui ramènent carrément du travail chez eux, quand on n'y prend pas garde, l'étalage des histoires privées peut trahir les détails d'activités professionnelles sous-jacentes ou faire apparaître des situations personnelles exploitables par des adversaires.
Alors, à moins que ni soi-même ni personne dans son entourage proche ou éloigné ne touche à des sujets sensibles, les communications domestiques devraient elles aussi faire l'objet d'une attention particulière en ce qui concerne la sécurité.
Soyons tous un peu paranos alors...
Toutefois entre ce qu'une administration fait réellement et ce qu'elle se vante de savoir faire.... il y a parfois une graaannnde marge.
Ceci dit, il n'empêche que ce ne doit pas être une raison pour ne plus chiffrer, mais au contraire, pour chiffrer encore plus ! Et appliquer des politiques encore plus strictes : contre la compromission (vol) des clés, il faur révoquer et changer ses clés plus souvent.