Je pense que là, il est temps de s'arrêter

Un post de Bruno Kerouanton sur son blog qui reprend la dernière grande nouveauté de nos très chers élus. La fin, sur l'interopérabilité, ne fait que nous rappeller que nos élus sont un tout petit peu à côté de la plaque. La première partie, et les interrogations relatives au fonctionnement d'un tel outil (genre s'il pourra différencier une iso debian d'autre chose, etc) me fait sombrement marrer, en fait j'ai un peu l'impression que nos élus croient que tout ce qu'ils ont pu voir au ciné dans des films avec des ordinateurs est possible. Alors que d'un point de vue faisabilité, c'est pas si évident que ça (d'où la question sur la possibilité de détecter les malwares si ce soft est si bien que ça).
Remarquez que pour eux, quand un mec pirate un serveur du pentagone ça se passe toujours avec des fenêtres en 3D qui vibrent dans tous les sens au milieu de bipbipip incessants, le tout sur fond de musique électronique illégalement téléchargée sur Internet.
Changeons vite de pays.

Faites ce que je dis, pas ce que je fais

Là.

ph41l

Epic fail.

lulz @blackberries

Dans le genre loliez@tech, y'a aussi ce genre de perles:

"les e-mails du président seront conçus pour être impossible à forwarder (faire suivre)."

Impressionnant. Sauf que je vois pas comment. Enfin, un truc doit m'échapper. Soit les destinataires des e-mails devront utiliser un client mail différent qui gère un attribut spécial dans les headers du mail reçu faisant qu'il n'est pas forwardable directement, soit il y a dans la RFC des mails (alors, allez savoir laquelle hein) un truc standard permettant cela, mais que je ne connais pas. Dans les deux cas, j'avoue que j'ai du mal à percevoir une quelconque difficulté à copier l'intégralité du mail pour le retransmettre. Et même si on suppose qu'un truc technique m'échappe à ce sujet (ce qui n'est pas improbable, on en apprend tous les jours) et que ça soit possible, qu'est ce qui empêche un mec ayant reçu ce mail de le recopier (pas via un copy/paste, mais le reécrire) et de le balancer à tous ses contacts et leur demander de le renvoyer à leur tour à chacun de leurs contacts ? ah non, en général ils envoient à des journalistes les gens, dans des cas comme ça. Non vraiment, si quelqu'un a une idée, qu'il n'hésite pas à me contacter.

D'ailleurs tout ça me fait penser au client pgp que j'ai testé sur mon blackberry. En gros, il y a deux types de solutions PGP pour BlackBerry. La première vient directement de PGP corp. et s'intègre sur le BES (et a probablement des backdoors, mais ça, on n'en parle pas). Le BES pour ceux qui connaissent pas, c'est le serveur qui coute plus ou moins cher, acheté par une entreprise, et qui se synchronise avec son serveur de mails pour balancer ses mails sur les téléphones des employés équipés de BlackBerries (c'est grossièrement résumé, mais Google est là pour ceux qui veulent des détails croustillants). Le service PGP hébergé dessus possède toutes les clés de chiffrement/déchiffrement, donc l'opération correspondante est effectuée sur le serveur d'entreprise, et non pas sur le téléphone (la liaison entre le téléphone et le BES est sensée être sécurisée par de l'AES-256). En gros les mails arrivent en clair sur le téléphone (mais transitent sur une liaison sécurisée).

Le second type de solution, que j'ai testée cette fois ci (il en existe une seule solution logicielle, contrairement à la précédente pour laquelle il en existe au moins deux) s'installe sur le téléphone et se greffe au client mail blackberry. Et là, bon à priori d'après le contrat de licence (EULA / CLUF, enfin le truc que personne ne lit) je n'ai pas le droit de balancer de benchmarks à moins d'en avoir la permission écrite, mais en gros, déchiffrer un mail chiffré avec une clé publique de 4096 bits (oui bon ok, à quoi ça sert alors qu'on a pas officiellement encore cracké de RSA 1024, juste du 1023 dont la partie privée était facilement factorisable, mais passons) donc j'en étais où ? ah oui, pour déchiffrer un mail chiffré ainsi, il a fallu pas moins de 6 minutes à mon téléphone pour finir. Alors pas moyen de savoir si c'est le CPU qui tourne là dedans qui est vraiment à chier, ou si c'est mon appli pgp qui est mal codée, mais pour un soft à 50 $ canadiens, ça fait quand même mal. Autant dire que c'est pas vraiment utilisable. Mais je comprends mieux pourquoi la solution de PGP est de tout faire sur le serveur d'entreprise, qui est beaucoup plus performant qu'un téléphone pour faire ça (je sais pas vous, mais quand je reçois un mail chiffré avec ma clé à 4096 bits, sur mon pc c'est quasi instantané, en temps humain)

Bon ensuite de toutes façons, sur la seule boite mail que j'ai configurée pour le moment dessus, il n'y a que ma boite générale personnelle sur laquelle je reçois les mailing-lists auxquelles je me suis inscrit, et dont les gens ne chiffrent pas les mails, les newsletters diverses et variées, qui ne sont pas non plus chiffrées, etc.

Le meurtrier qui utilisait Google

Je viens de tomber sur cet article, qui parle de l'utilisation de l'historique des recherches Google comme preuves dans une affaire criminelle. Ce qui est amusant dans cette histoire, c'est que c'est l'historique de ce monsieur qui à priori l'a trahi:

A physical search of Justin's computer revealed that a few months before the murder, he had searched for terms including "trauma, cases, gunshot, right chest" and "Florida & divorce."

So far these cases appear to have involved police physically seizing a suspect's computer and poring over its Web browser history. The other way for prosecutors or defense attorneys to find search terms is to send subpoenas to Google, Microsoft, Yahoo, or AOL (something that the major search companies say they can provide if legally obligated).

A croire que l'effacement des données n'est pas encore donné à tout le monde. Enfin dans ce cas là tant mieux, ça aura permis de trouver le responsable. S'il avait été un minimum malin il aurait fait sa recherche avec une ip différente de la sienne (tor / wardriving / lol) sans utiliser son compte google et aurait effacé son historique local (parce que bon, l'historique google, j'y crois pas trop à la possibilité de l'effacer aussi simplement), avec peut etre un petit bzero de l'espace disque libre.

L'informatique technico légale, y'a de l'avenir là dedans.