À ce stade là ce n’est plus un consensus, c’est plutôt un antipattern.
Le consensus, c’est plutôt de construire des modèles de menace. Et vouloir appliquer la même sécurité partout et indistinctement est la preuve d’une politique brouillonne et amateure à ce sujet.
Mais Zenitram est un troll. Je ne pige même pas comment ce mec peut être pris au sérieux (perte de compétence technique sur Linuxfr?) alors même qu’il affiche publiquement son métier et son travail, qui n’a aucun lien de près ou de loin, avec le domaine de la sécurité.
J’hésitai à y répondre, car son commentaire est tellement vague, tellement wtf, qu’il est impossible de contre-argumenter proprement et rigoureusement (comme 99% de ses commentaires, ce qui le renforce dans son délire d’avoir tout le temps raison contre tout le monde). C’est aussi ça qui fait qu’il est pertinenté. Chacun y voit midi à sa porte... Technique bien connue au demeurant des politiciens tels Macron (et le célèbre "Je vous ai compris" de notre Charles national).
On ne peut que spéculer sur son argument de fond (en mettant de côté sa tentative de me dénigrer moi et mes compétences — le pauv’ s’il savait... — là encore technique bien connue des politiciens... quand on est incapable d’argumenter sur le fond) : j’imagine qu’il souscrit au lieu commun selon lequel on pourrait "cacher" une communication sensible chiffrée dans une masse de communications non sensibles, mais aussi chiffrées. Outre le fait qu’il n’y a absolument aucun obstacle sérieux à augmenter le coût d’un déchiffrage en utilisant des clefs plus robustes, c’est une stratégie qui se démonte assez facilement : dans le cas d’une attaque ciblée par définition ce type de protection est inutile (l’adversaire sait qui et quoi déchiffrer : le seul moyen de submerger les moyens de déchiffrage de l’adversaire c’est d’utiliser des clefs plus robustes). Dans le cas de la surveillance de masse des dictatures : il est assez facile de discriminer des communications intéressantes de celles sans valeur étant donné qu’on a accès aux informations des couches réseaux sous-jacentes pour déjà opérer un filtre efficace (par exemple surveiller toute adresse IP qui se co. à tel site identifié "terroriste" [1,2]), voir même ne pas chercher à déchiffrer : identifier des réseaux d’individus, c’est déjà une collection d’informations privées qui suffira à établir les réseaux de l’opposition, quitte à se doter d’un moyen d’accès aux communications chiffrées, contre lequel https ne peut rien [3, 4].
Le problème de la sécurité en informatique, c’est que c’est un métier à part entière, mais que beaucoup trop de dév et d’admin prennent à la légère et croient par conséquent pouvoir donner leur avis dessus. Perso. je pense qu’il faudrait intégrer une sensibilisation initiale, et un travail de formation continue tout au long de la carrière des informaticiens.
L’une des erreurs commises par les informaticiens, c’est l’approche techico-technique, comme c’est le cas ici à propos du https, à des années-lumière de ce qui se fait dans la sécu. moderne qui doit se penser de manière globale : à noter les différents scandales qui ont éclatés des dernières années (Cambridge Analytica, Pegasus, etc.), ou encore la nécessité de connaissances même élémentaires des méthodes d’attaque passant par le facteur humain (engineering social, sms frauduleux, etc.) extrêmement répandues. La sécurité passe par une approche multi-disciplinaire qui doit totalement intégrer la défaillance humaine dans ses stratégies. L’informatique est très en retard par rapport au reste du monde.
[^] # Re: Lol
Posté par ml . En réponse au lien L'icône cadenas pour HTTPS n'était pas une si bonne idée en pratique (et HTTPS à 95%). Évalué à -7.
À ce stade là ce n’est plus un consensus, c’est plutôt un antipattern.
Le consensus, c’est plutôt de construire des modèles de menace. Et vouloir appliquer la même sécurité partout et indistinctement est la preuve d’une politique brouillonne et amateure à ce sujet.
Mais Zenitram est un troll. Je ne pige même pas comment ce mec peut être pris au sérieux (perte de compétence technique sur Linuxfr?) alors même qu’il affiche publiquement son métier et son travail, qui n’a aucun lien de près ou de loin, avec le domaine de la sécurité.
J’hésitai à y répondre, car son commentaire est tellement vague, tellement wtf, qu’il est impossible de contre-argumenter proprement et rigoureusement (comme 99% de ses commentaires, ce qui le renforce dans son délire d’avoir tout le temps raison contre tout le monde). C’est aussi ça qui fait qu’il est pertinenté. Chacun y voit midi à sa porte... Technique bien connue au demeurant des politiciens tels Macron (et le célèbre "Je vous ai compris" de notre Charles national).
On ne peut que spéculer sur son argument de fond (en mettant de côté sa tentative de me dénigrer moi et mes compétences — le pauv’ s’il savait... — là encore technique bien connue des politiciens... quand on est incapable d’argumenter sur le fond) : j’imagine qu’il souscrit au lieu commun selon lequel on pourrait "cacher" une communication sensible chiffrée dans une masse de communications non sensibles, mais aussi chiffrées. Outre le fait qu’il n’y a absolument aucun obstacle sérieux à augmenter le coût d’un déchiffrage en utilisant des clefs plus robustes, c’est une stratégie qui se démonte assez facilement : dans le cas d’une attaque ciblée par définition ce type de protection est inutile (l’adversaire sait qui et quoi déchiffrer : le seul moyen de submerger les moyens de déchiffrage de l’adversaire c’est d’utiliser des clefs plus robustes). Dans le cas de la surveillance de masse des dictatures : il est assez facile de discriminer des communications intéressantes de celles sans valeur étant donné qu’on a accès aux informations des couches réseaux sous-jacentes pour déjà opérer un filtre efficace (par exemple surveiller toute adresse IP qui se co. à tel site identifié "terroriste" [1,2]), voir même ne pas chercher à déchiffrer : identifier des réseaux d’individus, c’est déjà une collection d’informations privées qui suffira à établir les réseaux de l’opposition, quitte à se doter d’un moyen d’accès aux communications chiffrées, contre lequel https ne peut rien [3, 4].
Le problème de la sécurité en informatique, c’est que c’est un métier à part entière, mais que beaucoup trop de dév et d’admin prennent à la légère et croient par conséquent pouvoir donner leur avis dessus. Perso. je pense qu’il faudrait intégrer une sensibilisation initiale, et un travail de formation continue tout au long de la carrière des informaticiens.
L’une des erreurs commises par les informaticiens, c’est l’approche techico-technique, comme c’est le cas ici à propos du https, à des années-lumière de ce qui se fait dans la sécu. moderne qui doit se penser de manière globale : à noter les différents scandales qui ont éclatés des dernières années (Cambridge Analytica, Pegasus, etc.), ou encore la nécessité de connaissances même élémentaires des méthodes d’attaque passant par le facteur humain (engineering social, sms frauduleux, etc.) extrêmement répandues. La sécurité passe par une approche multi-disciplinaire qui doit totalement intégrer la défaillance humaine dans ses stratégies. L’informatique est très en retard par rapport au reste du monde.