|
|
L'EFF invite à chiffrer toutes ses communications, dès maintenantAu moment où les parlementaires britanniques examinent un projet de loi très controversé, l'EFF invite Wikipédia à ne pas attendre son adoption pour chiffrer toutes les communications entre ses serveurs et les internautes. Par ailleurs, l'ONG invite ces derniers à se protéger également en utilisant le module HTTPS Everywhere, disponible sur Firefox et Chrome.
Le premier a même prévenu. Si cette loi entre en vigueur, l'encyclopédie libre et gratuite forcera le chiffrement des communications entre les internautes britanniques et ses serveurs. "Ce n'est pas le genre de choses que j'attendrais d'une démocratie occidentale", a-t-il lancé, bien décidé à ne pas permettre aux services de sa Majesté de voir quels sont les articles recherchés par tel ou tel utilisateur. Mais il n'est pas nécessaire d'attendre que le texte passe pour sécuriser sa navigation web. C'est le message que fait passer l'Electronic Frontier Foundation (EFF), en invitant d'une part l'encyclopédie libre et gratuite Wikipédia à chiffrer par défaut son accès et en conseillant d'autre part les internautes à installer un petit module complémentaire sur son navigateur web pour protéger sa navigation lorsque c'est possible. "Alors qu'il n'est pas certain que Jimmy Wales a l'autorité pour imposer l'utilisation de l'HTTPS par défaut pour les usagers de Wikipédia au Royaume-Uni, l'EFF pense que c'est une piste dont la communauté Wikipédia devrait envisager - et pas seulement en Grande-Bretagne, mais partout dans le monde", a commenté l'ONG. "Plutôt que d'attendre une mauvaise loi, les Wikipédiens devraient saisir cette opportunité pour effectuer un changement technique assez simple mais qui pourrait servir de rempart contre toute sorte de surveillance gouvernementale, de filtrage ou de rétention de données personnelles", poursuit l'EFF. Et même si cette protection n'est pas la panacée, elle va au moins dans le bon sens et se met en place très vite. Les internautes utilisant Firefox ou Chrome pour naviguer sur la toile peuvent ajouter à leur navigateur le module HTTPS Everywhere. Comme son nom l'indique, il s'agit de rajouter partout, lorsque c'est possible, la connexion chiffrée HTTPS. Cette extension est capable de l'activer sur plus d'un millier de sites web différents, dont Wikipédia, Facebook, Google, Twitter, WordPress et PayPal. à lire aussi
  Prix indiqués avec livraison
40
Commentaires à propos de «L'EFF invite à chiffrer toutes ses communications, dès maintenant»
Inscrit le 04/05/2009
522 messages publiés
Envoyer un message privé
Guss_
le 07/09/2012 à 15:13
En lisant "chiffrer les communication" dans le titre j'ai tout de suite penser à "Évaluer le montant de des communication" bref chiffre, et non pas "crypter les communication"
Répondre
VPN, TOR, .... vons devenir pour la majorité des internautes le minimum requis incessament sous peu....
Sauf que "crypter les communications" n'est pas français 
Et allez! Le signal est donc donné :-(
Quel gâchis! Il faudra qu'ils le payent quelques responsables, et cher! 
déjà fait depuis longtemps, mais je m'attendais à du lourd.
à quand HTTPS sur numérama, c'est bien d'en parler c'est mieux de le faire et de montrer l'exemple. 
gsconnect, le 07/09/2012 - 15:24 C'est clair, d'autant que des autorité de certifications gratuite et reconnu par les principaux OS/navigateur existent ; StartSSL pour ne citer qu'eux. Mais j'émets quand même une réserve. C'est possible que les FAI obtiennent par le gouvernement UK des certificats pour des domaines normalement protégés et du coup pouvoir faire des interception Man-In-Middle de façon tout à fait transparente! 
gsconnect, le 07/09/2012 - 15:24 +1 Guillaume, tu en penses quoi ?
ça coutera toujours plus cher, en calcul et par conséquence financièrement, si il faut en plus déchiffrer toutes les données chiffrées.
Que nécessite réellement le https ?
En lisant l'article je comprends que wikipedia le gère mais ne le force pas, mais que tout les sites ne le gèrent pas. S'il ne le force pas c'est qu'il doit y avoir un effet négatif pour certain internaute ? manipulation sur le client web ou juste le 's' dans l'adresse ? Et si tout les sites ne le gèrent pas, c'est parce qu'il y a un coup supplémentaire pour faire/heberger des sites en https ?
Le chiffrement a en effet un coût : cela fait faire plus de calculs, que ce soit pou le client ou pour les serveurs derrière. Pour le client, vu la puissance des machines, c'est plus que négligeable, donc il n'y a aucun inconvénient à chiffrer. Pareil pour un serveur qui reçoit peu de visiteurs. En revanche, sur des grosses infrastructures comme celles de Wikipédia ou Google, si tous les visiteurs se mettent à chiffrer du jour au lendemain, ça va augmenter la charge, et nécessiter des investissements. skhaen, le 07/09/2012 - 15:54 Ca ne résouds pas le problème de la première connexion, qui doit être sûre. Certains modes de fonctionnement de DANE pourraient répondre à ces problématiques, en espérant qu'ils soient déployés un jour : http://www.bortzmeyer.org/6698.html Dans tous les cas, à moins de se passer d'autorité de certification (ce que permettent les deux derniers modes de DANE), ça ne protège pas contre l'autorité de certification si elle génère totalement le certificat (et le secret associé ) et en garde une copie. [message édité par kankan le 07/09/2012 à 16:16
]
Au boulot les https c'est systématiquement "Cette connexion n'est pas certifiée", super, le proxy qui signe lui-même un certificat maison...
Guss_, le 07/09/2012 - 15:13 idem... kholl, le 07/09/2012 - 15:15 VPN + TOR, c'est pas un peu overkill ?
skhaen, le 07/09/2012 - 15:54 Tu utilises quel plugin pour ça ?
Mais enfin, moi je veux bien, VPN, Thor, https, et tout le toutim.
Mais vingt dieux, vous vous rendez compte de ce que ça veut dire??? On n'a qu'à tous, les humains, aller vivre dans le Vercors aussi, ou dans une cave. Cette situation est inacceptable il me semble bien. Il faut planifier le débarquement! 
Certificate
kholl, le 07/09/2012 - 16:19 Certificate Patrol par exemple, tu peux le trouver ici : https://addons.mozil...ificate-patrol/
Merci Skhaen, c'est celui que j'utilise depuis un ptit moment....
Amicalement, personnellement je serais le 1er ravi de ne pas avoir à utiliser ces outils.... avoir à les utiliser est en soit scandaleux, j'suis bien d'accord avec toi. Par contre pour le Vercors (j'adore cette région bordel) ça fait 5 ans que j'essaye en vain de convaincre ma compagne, si tu as des "pro-tips" j'suis preneur 
fabien29200, le 07/09/2012 - 16:20 Réponse courte : si. Réponse longue : le client se connecte sur le serveur, négocie la sessions TLS (le reste est chiffré). La demande au serveur (page, envoi des cookies, du nom de domaine demandé, des données de formulaire) est faite ensuite. Le FAI, lui, va juste voir qu'il y a eu une connexion HTTPS sur le serveur web ayant l'adresse IP ch.i.ff.ré
kholl, le 07/09/2012 - 16:37 Se rapprocher d'Autrans. Je répète. Se rapprocher d'Autrans.
J'ai même essayer "la méga montée" de grenoble à Autran ou (Villar je sais plus) à 50km/h en écoutant du bon vieux funk des familles.... fonctionne pas...
Ah...
Elle aime au moins le ski, piste ou fond, voire les ballades en raquettes? La montagne? Le "sauvage"? Parce que sinon...
kholl, le 07/09/2012 - 16:45 Rire Voir mon post ci-dessus. + A part le Vercors, dans les Alpes, il y a des endroits cools et à à peine plus d'1 heure 30 de la méditerranée, et Marseille/Cassis, par exemple, si elle aime la mer. Hautes alpes.
kankan, le 07/09/2012 - 16:37 Oui, mais je parlais en terme de logs. Sur mon site perso, lors d'un appel HTTPS, tous les accès sont listés dans le access.log. Après, effectivement la transmission est chiffrée, ce qui fait que le FAI ne verra rien. 
Je reposte ce que j'ai mis sur l'autre
Amicalement, le 07/09/2012 - 16:22 Je re-poste ce que j'ai mis sur l'autre news à ce sujet
c'est quand que numerama passe en HTTPS ??
Il manque surtout un certificateur CA gratuit [message édité par golem le 07/09/2012 à 17:08
]
june, le 07/09/2012 - 17:01 Il me semble que l'histoire a maintes fois montré que les dictatures s'écroulent toujours, "cèdent" comme tu dis. La question est pour moi : quel degré d'installation et quel niveau de dégâts peuvent elles atteindre avant que la VIE fasse son oeuvre libératrice? Ma réponse : au plus tôt c'est entravé et détruit, au mieux c'est.
fabien29200, le 07/09/2012 - 16:56 Oui, tu as accès à cette information, car ton serveur est un bout de la connexion chiffrée. Donc c'est logique qu'il y ait accès, et qu'il puisse tenir des logs avec les informations qu'il voit passer. Petit rappel évident : le chiffrement ne protège que pendant le transport, il ne protège pas les deux bouts que sont le client et le serveur (autrement dit, le destinataire d'une lettre peut retirer l'enveloppe, et doit d'ailleurs le faire pour la lire, mais il ny a aucune garantie sur ce qu'il fera avec les informations contenus dans ladite lettre). Dans le cas présenté, les serveurs de Wikipédia étant situés en dehors de la Grande-Bretagne, HTTPS permet de revenir dans une situation similaire à la normale : le FAI transporte en aveugle, et Wikipédia peut continuer à tenir des logs des visites pour eux-mêmes (s'ils le faisaient, mais je n'en doute pas), sans obligation de les fournir de manière systématique et automatique aux autorités britanniques. [message édité par kankan le 07/09/2012 à 17:13
]
Il faut se méfier ! En effet, certaines entreprises ont mis en place un MITM officiel. En clair, même quand tu te connectes à ta banque en HTTPS, ton canal HTTPS n'existe qu'entre ton poste et le proxy et c'est un autre canal HTTPS qui est établi entre le proxy et la banque ! Même si elle est légitime cette pratique est perverse car la plupart du temps l'employé n'en est pas informé. Et il n'a pas non plus les compétences pour déceler la manipulation (aller farfouiller dans les caractéristiques de la hiérarchie de certifs). Seule parade : disposer d'un certificat client que le serveur de la banque DOIT vérifier avant de poursuivre. Mais quelle banque pratique ainsi avec ses clients particuliers ? db 
gsconnect, le 07/09/2012 - 15:24 +1
Gourmet, le 07/09/2012 - 17:21 +1. Sauf dans le cas du certificat client, les FAI auraient effectivement les moyens d'intercepter toutes les communications SSL, simplement en demandant un certificat "*" à installer dans leurs proxy-ssl. Ca nécessiterait probablement la complicité du gouvernement (déjà fait aux USA avec Verisign) , mais c'est 100% possible. Certificate Patrol est bien sauf que en pratique il y a tellement d'alertes que tu cliques sur "OK" sans même faire gaffe, à la fin. Et quand bien même t'aurais détecté le proxy.... t'est quand même baisé: Impossible d'aller sur le site visé, t'a juste empêché l'interception. D'autre part, si une loi telle que celle qui est proposée en GB arrive et que du coup tout le monde chiffre, combien de temps croyez vous que va mettre pour arriver la loi qui dis que les FAI doivent bloquer les VPN (ou toute communication chiffrée) sauf sur les sites "autorisés" en liste blanche tel que amazon.com et apple.com ? Le but même pas caché des FAI c'est de retourner au minitel - prélever une taxe (directe ou indirecte) sur toute transaction financière effectuée sur internet. On le sais, depuis longtemps, ils le disent assez souvent. On sais TOUS ici ce qu'il y a a faire.
Amicalement, le 07/09/2012 - 17:11 Effectivement. A la fin c'est toujours le peuple qui gagne. La question est de savoir si il va gagner dans 10 ans ou dans 1 siècle. Donc si on ne veut pas attendre, il faut se réveiller tout de suite et ne pas se laisser faire.
june, le 08/09/2012 - 00:02 Un très très mauvais signe de plus venant directement de Bruxelles. http://owni.fr/2012/...n-du-terrorisme Article bien informatif, où on trouve quelques "noms" "notamment... Rajouté à tout le reste, je me dis que Quadrature est vraiment à côté de la plaque avec ses clés Usb et ses "tentations" de collaborer avec Lescure, ce que je regrette.
obcd, le 07/09/2012 - 19:07 Il y a tellement de choses à faire et dans tant de domaines que je ne vois pas à laquelle tu penses en particulier... :-)
kholl, le 07/09/2012 - 16:37 [pub] http://cyphercat.eu [/pub] tu as besoin de quoi ?  Tous les champs doivent être remplis. Tous les champs doivent être remplis. Tous les champs doivent être remplis. |
A LA UNE
LES + COMMENTÉS
 10 offres à partir de 255 €
 4 offres à partir de 49 €
Télécharger
microsoft office,
gta,
tor,
gnutella emule island,
skype,
ssc service utility,
nokia pc suite,
online tv adult,
Accès rapide :
Graver ou numériser |
Communication |
Encoder ou convertir |
Personnalisation |
Diagnostic |
eMule (et mods eMule) |
Photo numérique |
|
Au Royaume-Uni est actuellement examiné un projet de loi visant à contraindre les fournisseurs d'accès à Internet de retenir pendant un an des informations particulièrement précises sur les communications de leurs clients. Très controversé outre-Manche, le texte 
![eMule 0.50a [MorphXT]](http://images.numerama.com/img/s/t6161-35-37-emule-050a-morphxt.jpg)
