À la rentrée, je travaillerai sur l'architecture d'un service de sécurité. Voici une liste des protocoles standards qui gèrent la chose.

Cool, Apple ne vous authentifie plus et se contente de vous identifier avec vos données biométriques personnelles (parce que c'est tout à fait normal de confier ses données biométriques à une société commerciale, vous en conviendrez #Facepalm).

Dit autrement, si quelqu'un venait à vous voler votre empreinte, votre image ou quoi que ce soit qui ne soit pas révocable, vous devrez faire face à un très gros problème.

Bref, l'authentification c'est la preuve que la personne est bien celle qu'elle prétend être. L'identification, c'est la déclaration de cette prétention mais sans preuve puisque n'importe qui peut vous voler votre ADN, vous prendre en photo, etc.

Le point du litige est que l'on peut décider de changer de mot de passe quand on veut et sans effort mais ça n'est pas possible de changer de visage, d'ADN, d'empreintes, etc.

Merci à je ne sais plus qui pour le lien.

Le problème que j'ai avec l'application, c'est qu'elle associe un périphérique qui se perd, qui se casse et surtout qui se fait voler (coucou le métro parisien) à votre compte.

L'autre problème est que ces applications ne sont disponibles que sur les stores Google et Apple, or comment faire lorsque l'on utilise n'y l'un ni l'autre ?

Enfin, ces applications ne sont en général pas open-source, donc aucun moyen d'être certain qu'elles n'aspirent pas toutes les données persos...

Bref, les niveaux 3/2/1 sont au même degré de sécurité pour moi, seulement si l'on prend l'aspect global de la chose, c'est-à-dire vol du device + vol des données personnelles bien-sûr.

Oh comme c'est beau ! La sécurité permet de faire avancer tellement facilement les choses !!!

Pour vous résumer l'article, l'authentification à deux facteurs n'est pas jugée suffisamment sécurisée par l'Union Européenne (oui toujours cette même saleté) et donc les banques ont l'obligation de faire mieux :

• Installer une appli au code source fermé sur les mobiles de tous les citoyens.
• Et le mot magique ajouter de la biométrie (typiquement il faut filer ses empruntes digitales à sa banque pour avoir le droit de se payer un Big Mac avec son argent à soi).

Je l'ai dit et je vais le redire, l'oligarchie n'a pas de patrie, pas de sympathie pour les gens et cherche par tous les moyens à mettre en place un contrôle total lui garantissant sa place sous le soleil et au sommet de la pyramide sociale qu'elle a bâti elle-même pour elle-même.

La double authentification par sms n'est pas jugée suffisamment sûr, mais quels problèmes rencontre-t-elle pour justifier de tels propos ? "Pas suffisamment sûr" mais sur quels critères ? À quel moment est-on considéré comme "suffisamment sûr" ? Les citoyens ont-ils le droit de décider du degré de risque qu'ils souhaiteront prendre ou y seront-ils forcés comme des enfants ?

Un peuple prêt à sacrifier un peu de liberté pour un peu de sécurité ne mérite ni l'une ni l'autre, et finit par perdre les deux.

Benjamin Franklin

Edit : je l'ai baptisé Youtube Policy Remover

C'est en référence à cette vidéo qui n'est accessible si vous êtes connecté à votre compte Google (et vous le savez, je fais tout pour me débarrasser de Google #ViePrivée).

De fait, j'avais écrit le post en lien expliquant comment outrepasser facilement l'obligation technique d'être connecté à Google, qu'impose la firme de Mountain View, pour visualiser certaines vidéos (+18 et autres) qu'elle héberge.

Eh bien j'ai décidé d'automatiser cela via un bouton à ajouter à vos marque-pages Firefox qu'il vous suffit de glisser-déposer dans votre barre personnelle. Enjoy :D

Le bouton est ici : Remove Youtube Policy

P.S : la manip' donne en plus un accès directe à la vidéo Youtube permettant ainsi la lecture sur iBidules (chose qui foire assez régulièrement).

Quelques bonnes pratiques de sécurité

J'avais déjà fait ce post en rapport à ce sujet : http://cakeozolives.com/shaarli-antichesse/?xjIAJQ

Tout est dit dans le titre

Rien que le titre de cet article DOIT vous faire sourciller : "L'ère du mot de passe révolue pour l'alliance FIDO, qui propose un nouveau standard pour faciliter et normaliser les systèmes d'authentification"

Qu'est-ce qui cloche ? On est en train de vous vendre de l'identification pour de l'authentification ; en clair on détruit toute forme de fiabilité dans le système.

Pour bien comprendre je vais vous expliquer ci-après la différence fondamentale entre de l'identification et de l'authentification.
L'identification c'est qui vous êtes, par exemple :

• votre ADN ;
• vos empruntes digitales ;
• l'image de la structure du système veineux de votre main ;
• l'image de votre iris ;
• l'emprunte de votre voix ;
• etc.

Tout ceci constitue votre personne, c'est vous.

Vous avez remarqué le double problème ? Non ? C'est simple pourtant, toutes ces choses ne vous quitteront et ne changeront jamais TOUT AU LONG DE VOTRE VIE et en plus ON PEUT VOUS LES VOLER ! Bah oui, on peut copier une emprunte, la photo de votre iris, copier votre ADN à partir des mèches de cheveux que vous laissez traîner partout, etc. Une fois que quelqu'un les a copier, C'EST MORT ! Votre identité peut être falsifiée sans problème.

Mais alors qu'est-ce que l'authentification ? C'est l'action de pouvoir PROUVER que vous êtes bien la personne que vous prétendez être. En clair, une personne se pointant avec mon ADN peut se faire passer pour moi, elle peut me ressembler, etc. Mais si elle ne connaît pas mon mot de passe, ELLE NE PEUT PAS PROUVER QUE C'EST MOI donc elle ne peut pas SE FAIRE PASSER POUR MOI bien qu'elle possède mon ADN ! C'est la différence entre l'identification et l'authentification. L'identification c'est déclaratif, je déclare que je suis moi et on me croit sur parole parce que je ressemble à ce que je prétends être ; mais dans l'univers de la sécurité il faut des preuves et l'authentification c'est la preuve que c'est bien moi.

En 5000 ans, on n'a pas trouvé mieux que le mot de passe alors je vous pose la question, vous êtes toujours prêt à abandonner vos mots de passe pour leur système à la con maintenant ?