iCloud : Apple pourrait accéder aux données de ses utilisateurs
Mais son service est loin d'être le seul dans ce cas, le Cloud en question ?

Le , par Gordon Fowler, Expert éminent sénior
Le débat sur le Cloud et les espaces de stockages hébergés risque d’être relancé. Depuis hier, un site américain renommé affirme en effet qu’Apple aurait accès aux données que ses utilisateurs décident de stocker ou de synchroniser (musique, contacts, photos, favoris, etc.) via iCloud.

Soulignons tout de suite qu’Apple est loin d’être le seul dans cette situation puisque Ars Technica indique que des services comme Box.net ou Dropbox (entre autres) seraient également concernés.

« Vos informations ne sont pas à l’abris des yeux indiscrets », accuse le web-magazine. « Apple peut à tout moment consulter les données de iCloud, et dans certaines circonstances pourrait les partager avec les autorités ».

Le problème tient au fait que le chiffrement des données hébergées n’est pas optimal. Seuls leurs transfert seraient totalement sécurisés (en SSL). Un point de vue avancé par le chercheur Jonathan Zdziarski et la société spécialisée Securosis.

Pour eux, une fois qu’elles arrivent sur les serveurs, les clefs de chiffrements des données sont entre les mains d’Apple (ou de Dropbox ou de Box.net). Ce qui pose un problème important sur le contrôle de ses données et un risque qu’une personne interne au prestataire de service Cloud dérobe ces clefs.

« Dans un système de chiffrement symétrique, il y a toujours une porte dérobée », regrette pour sa part Echoworx, une société qui vend des solutions de sécurisation pour les produits Cloud. Même si Apple assure avori mis en place des process pour qu’un vol de ces clefs de chiffrement soit quasi impossible, Echoworx pense que la seule solution raisonnable serait que les plateformes passent toutes à des clefs asymétriques.



Aujourd’hui, « si vous pouvez le voir dans votre navigateur, ils peuvent le voir sur leurs serveurs » acquiesce Securosis. Avec des clefs asymétriques (une clef publique et une clef privée), seul l’utilisateur (qui est le seul à posséder cette clef privée) aurait accès à ses données.

Ces experts ne jettent pas pour autant la pierre à Apple. Un tel système de chiffrement asymétrique n’est pas simple à mettre en place, notamment dans le domaine très sensible (et très friand de synchronisation) qu’est le secteur de la mobilité. Et surtout il n’est pas simple à utiliser par « Madame Michu ».

Résultat, sans cette sécurit », iCloud ne devrait pas être utilisé dans un cadre professionnel. Une recommandation qu’Apple lui-même ferait à ses clients corporate si l’on en croit Ars Technica.

Les entreprises pourront se rabattre sur Exchange pour synchroniser les mails, les calendriers et les contacts. Et les personnes qui se sentent concernées par ces problématiques n’utiliseront iCloud que pour les données qu’elles jugent non sensibles.

En attendant que la démocratisation du chiffrement asymétrique ne règle toutes ces question. Une démocratisation qui malheureusement ne serait pas vraiment pour demain.

Source : Ars Technica

Et vous ?

Quelle solution professionnelle vous ou votre entreprise utilisez-vous pour synchroniser les informations sensibles ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de kolodz kolodz - Modérateur http://www.developpez.com
le 10/04/2012 à 22:28
C'est Bajoo.fr qui dit que c'est crypté ?
Ils cryptent le fichier avant de l'envoyer sur le serveur ?
Ils cryptent un dossier/archive ou fichier par fichier ?
Les noms des fichiers sont crypte ?
Envoyé à l'utilisateur de manière crypté ?
Qui vérifie que Bajoo crypte réellement les informations ?
Quel est la clé de cryptage ? login/pass à 6 caractères ?
(Le même que pour ton compte developpez ?)

Un solution de stockage fiable et sûr ça ce fait pas comme ça...
Et un disque dur d'un 1To à 75€/mois, même avec une connexion SSL, ça fait cher.

Si certaines lois sont votées, Bajoo sera obligé de vérifier la légalité du contenu présent sur ces serveurs. Et donc de l'analysé en clair.
C'est un sujet qui n'est pas près de s'arrêter...

Pour les paranos :
Une étude statistique est capable de retrouver une recherche google crypté simplement par la taille des mots proposé.
Il est probable que la taille d'un fichier et la taille du nom associé soit aussi une empreinte repérable.
Avatar de GruntZ GruntZ - Membre régulier http://www.developpez.com
le 11/04/2012 à 7:03
EncFS + CryptKeeper, et voilà un petit espace d'intimité sur DropBox

http://www.crowd42.info/cryptkeeper-...dossiers-encfs
Avatar de bajoo bajoo - Futur Membre du Club http://www.developpez.com
le 11/04/2012 à 15:10
Citation Envoyé par kolodz  Voir le message
C'est Bajoo.fr qui dit que c'est crypté ?
Ils cryptent le fichier avant de l'envoyer sur le serveur ?
Ils cryptent un dossier/archive ou fichier par fichier ?
Les noms des fichiers sont crypte ?
Envoyé à l'utilisateur de manière crypté ?
Qui vérifie que Bajoo crypte réellement les informations ?
Quel est la clé de cryptage ? login/pass à 6 caractères ?
(Le même que pour ton compte developpez ?)

Un solution de stockage fiable et sûr ça ce fait pas comme ça...
Et un disque dur d'un 1To à 75€/mois, même avec une connexion SSL, ça fait cher.

Si certaines lois sont votées, Bajoo sera obligé de vérifier la légalité du contenu présent sur ces serveurs. Et donc de l'analysé en clair.
C'est un sujet qui n'est pas près de s'arrêter...

Pour les paranos :
Une étude statistique est capable de retrouver une recherche google crypté simplement par la taille des mots proposé.
Il est probable que la taille d'un fichier et la taille du nom associé soit aussi une empreinte repérable.


Bonjour Kolodz,

Je me permets de te répondre :

C'est Bajoo.fr qui dit que c'est crypté ?
> Oui.

Ils cryptent le fichier avant de l'envoyer sur le serveur ?
> Oui, en utilisant la passphrase de l'utilisateur. Le tout en AES 256 bits ECB.

Ils cryptent un dossier/archive ou fichier par fichier ?
> Fichier par fichier

Les noms des fichiers sont crypte ?
> Non

Envoyé à l'utilisateur de manière crypté ?
> Oui, vu que c'est crypté avant l'envoi, c'est stocké crypté sur nos serveurs

Qui vérifie que Bajoo crypte réellement les informations ?
> La CNIL, avec qui on a fait valider techniquement notre projet avant de le mettre en place, notamment pour s'assurer de la légalité du chiffrement (il y a quelques années on était encore limité légalement sur les techniques de chiffrement utilisables).

Quel est la clé de cryptage ? login/pass à 6 caractères ?
> La phrase secrète (passphrase) choisie par le client, phrase que nous ne connaissons pas. C'est au client de la choisir le mieux possible, pour s'assurer de ne jamais l'oublier, sans qu'elle soit trop facilement trouvable ou trop faible.

Si certaines lois sont votées, Bajoo sera obligé de vérifier la légalité du contenu présent sur ces serveurs. Et donc de l'analyser en clair.
C'est un sujet qui n'est pas près de s'arrêter...
> Si de telles lois arrivent, un peu comme le Patriot Act aux USA, notre solution ne sera plus légale et devra s'arrêter en effet.
> C'est à nous tous de faire en sorte, en tant que citoyens français, que cela n'arrive pas.

> Rappel, nous ne pouvons en aucun cas déchiffrer les fichiers stockés sur nos serveurs, c'est la base de la solution. Même en cas de requête judiciaire, nous ne pourrons que fournir les fichiers chiffrés et laisser les agents policiers/judiciaires tenter de déchiffrer les fichiers.
Avatar de Battant Battant - Membre habitué http://www.developpez.com
le 11/04/2012 à 17:32
Bonjour,

Franchement dropbox fait la même chose. Ils explique que c'est pour collaborer avec la justice. Où set le problème. Il y a quant même une politique de confidentialité. pensez-vous vraiment qu'ils auront le droit de faire n'importe quoi ?

J'attends vos réactions

Salutations
Avatar de Shadow aok Shadow aok - Membre du Club http://www.developpez.com
le 11/04/2012 à 18:03
Le problème c'est que même si tu n'es pas citoyen américain, comme l'entreprise est située aux USA, le Patriot Act s'applique.

Donc, le jour où ils veulent collecter des données ou faire de l'espionnage industriel, ils peuvent.

Le jour où les serveurs Apple/Dropbox se font hacker, si ce n'est pas chiffré, c'est dans la nature.
Idem si un employé indélicat ou en contentieux avec la société décide de se venger.

Et connaissant Apple, je ne me fierais jamais à leur parole.
Avatar de kolodz kolodz - Modérateur http://www.developpez.com
le 11/04/2012 à 20:51
Citation Envoyé par bajoo  Voir le message
Bonjour Kolodz,

Je me permets de te répondre :
...

Merci. C'est agréable de voir que vous vous exprimez publiquement en votre nom propre. (sertan si tu regarde !)

Avant d'aller plus loin, je test votre application.

Lecture de la licence :
Bajoo ne saurait être tenu pour responsable des dommages causés à votre système informatique, de la perte ou de la corruption de données, ou d’autres dommages résultant de votre accès ou de votre utilisation des Services ou des Logiciels.

Service could. Rien de choquant, mais une piqûre de rappel ne fait jamais de mal
CUG :
Les présentes Conditions Générales d’Utilisation sont conclues entre Linéa SARL au capital de 100 €

Félicitation ! Et bonne chance !

La création du compte :
La région en obligatoire, c'était pas obligé.

Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Test du service :
Après fermeture du service, les fichiers sont toujours disponible en local et en clair.
Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.

Bien que je me sois pas en mesure de vérifier le cryptage des informations sur le serveur et que je ne remets pas en cause. Il reste cependant une grosse lacune de sécurité pour les utilisateurs en mobilité ou non.

Dommage que l'espace ne soit pas consultable depuis le site.
Partie compte en connexion HTTPS, par contre.

Donc, après test :
> La CNIL, avec qui on a fait valider techniquement notre projet avant de le mettre en place, notamment pour s'assurer de la légalité du chiffrement (il y a quelques années on était encore limité légalement sur les techniques de chiffrement utilisables).

La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Qui vérifie que Bajoo crypte réellement les informations ?
> La CNIL, avec qui on a fait valider techniquement notre projet avant de le mettre en place, notamment pour s'assurer de la légalité du chiffrement (il y a quelques années on était encore limité légalement sur les techniques de chiffrement utilisables).

Il existe encore des limites de cryptage. Edit : enfin sur l'import/export.
ASE donc osf

Quel est la clé de cryptage ? login/pass à 6 caractères ?
> La phrase secrète (passphrase) choisie par le client, phrase que nous ne connaissons pas. C'est au client de la choisir le mieux possible, pour s'assurer de ne jamais l'oublier, sans qu'elle soit trop facilement trouvable ou trop faible.

Pas de taille minimum pour la passphrase, ce qui la rend moins sûr pour beaucoup d'utilisateur.(Qui ne feront pas une passphrase)
Je me demande comment, l'application fait pour se resynchronisé sans me demander ma passphrase au re-lancement de l'application

Niveau technique pur :
J'aime les log applicatif... Sauf pour les applications de sécurité. Les logs genre :
Code : Sélectionner tout
1
2
3
4
5
6
20:25:48 [BajooAuthenticatorHTTPS] SET Quota : DONE! 
20:25:48 [Watcher] catching Created eventC:\Users\k\Documents\Bajoo\mybajoo\Rub al Khali.jpg 
20:25:48 [Cmd] tools/bin/bjo.exe status --porcelain 
20:25:48 [Event][mybajoo] Created 'Rub al Khali.jpg' 
20:25:48 [Event][mybajoo] Changes found, checking if settled. 
20:25:48 [Local][mybajoo] Checking...
En clair... Je trouve ça limite limite...

Pour information Rub al Khali, c'est un lieu sur Mars (google Earth(sur Mars))

Même si la partie stockage en ligne est sécurisé, le reste non...

Cordialement,
Patrick Kolodziejczyk.

PS :
Mes infos dans l'application c'est :
code postal : 01000
ville : Paris
région : centre

Avatar de bajoo bajoo - Futur Membre du Club http://www.developpez.com
le 12/04/2012 à 9:40
Bonjour Kolodz,

Félicitation ! Et bonne chance !

Merci. En ce qui concerne le capital social c'est temporaire et il sera augmenté à la fin de la bêta.

La région en obligatoire, c'était pas obligé.

C'est obligatoire à cause du prestataire de paiement par CB, malheureusement nous n'avons pas le choix.

Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Nous allons prendre cette suggestion en compte.

Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.

Pas sur un PC fixe vu que tout se trouve sur votre session. Sur mobile par contre cela vous est redemandé sauf choix contraire.

Dommage que l'espace ne soit pas consultable depuis le site.

Vu que tout est chiffré, ce n'est pas possible pour le moment. Cela viendra peut-être plus tard par l'intermédiaire d'un applet Java mais nous avons d'autres priorités.

La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Je ne parle qu'en ce qui nous concerne mais nous leur avons présenté l'ensemble du côté technique de notre offre.

Il existe encore des limites de cryptage.

Je pense que pour ce qui est de casser de l'AES 256 ECB, on est quand même relativement tranquille. Non pas que ce soit impossible, mais absolument pas à la portée de grand monde.

En clair... Je trouve ça limite limite...

C'est temporaire, nous sommes encore en bêta test, et cela nous permet de corriger plus vite les bugs rencontrés. Cela ne sera bien entendu plus en place sur les versions finales.

Même si la partie stockage en ligne est sécurisé, le reste non...

C'est-à-dire ?

C'est avec ce genre de remarques que notre produit s'améliorera, c'est pourquoi nous sommes très attentifs à vos remarques.

Merci
Avatar de kolodz kolodz - Modérateur http://www.developpez.com
le 12/04/2012 à 12:15
Citation Envoyé par bajoo  Voir le message
Bonjour Kolodz,

La région en obligatoire, c'était pas obligé.

C'est obligatoire à cause du prestataire de paiement par CB, malheureusement nous n'avons pas le choix.

Place le sur l'affichage de souscription payante, si c'est pour le paiement CB. D'ailleurs, je me souviens pas avoir donné ma région pour mes billets de train.

Citation Envoyé par bajoo  Voir le message
Choix de la passphrase :
J'ai mis "test" et pas de problème de longueur.

Nous allons prendre cette suggestion en compte.

Je conseil une phrase de minimum 32 caractères.

Citation Envoyé par bajoo  Voir le message
Quand je relance l'application celui-ci ne me demande pas ma passphrase. Ni mes informations compte.

Pas sur un PC fixe vu que tout se trouve sur votre session. Sur mobile par contre cela vous est redemandé sauf choix contraire.

Ma session ? Tu veux dire que j'ai un cookie avec ma plassphrase dedans ?

Citation Envoyé par bajoo  Voir le message
Dommage que l'espace ne soit pas consultable depuis le site.

Vu que tout est chiffré, ce n'est pas possible pour le moment. Cela viendra peut-être plus tard par l'intermédiaire d'un applet Java mais nous avons d'autres priorités.

C'est juste que du coup, je ne peux pas vérifier le fonctionnement de l'application facilement =)

Citation Envoyé par bajoo  Voir le message
La CNIL ne vérifie pas grand chose d'après les échos que j'ai.

Je ne parle qu'en ce qui nous concerne mais nous leur avons présenté l'ensemble du côté technique de notre offre.

La CNIL laisse faire la compagnie "Trident Media Guard", malgré qu'il y ai eu plusieurs faille de sécurité majeur.

Citation Envoyé par bajoo  Voir le message
Il existe encore des limites de cryptage.

Je pense que pour ce qui est de casser de l'AES 256 ECB, on est quand même relativement tranquille. Non pas que ce soit impossible, mais absolument pas à la portée de grand monde.

Oui, fin aglo de cryptage classique. Disponible avec une machine Java SE par exemple.
Citation Envoyé par bajoo  Voir le message
En clair... Je trouve ça limite limite...

C'est temporaire, nous sommes encore en bêta test, et cela nous permet de corriger plus vite les bugs rencontrés. Cela ne sera bien entendu plus en place sur les versions finales.

Pour une application de sécurité, il n'y pas de temporaire pour la sécurité. Un log crypté avec un clé publique aurai suffit.

Citation Envoyé par bajoo  Voir le message
Même si la partie stockage en ligne est sécurisé, le reste non...

C'est-à-dire ?

La sécurité d'une donnée est relative à plus faible protection qu'on lui applique. Avoir une donnée crypté sur un serveur et non crypté sur les pc d'utilisateurs. Pour la sécurité, c'est comme d'avoir une informations non crypté. C'est un peu comme vouloir mettre son argent dans un coffre fort le soir, mais laisser son porte-feuille trainer sur son bureau pendant la pause déjeuner...
Ça sert juste à vendre des coffres fort. Le voleur lui, ça le dérangera pas.

Citation Envoyé par bajoo  Voir le message
C'est avec ce genre de remarques que notre produit s'améliorera, c'est pourquoi nous sommes très attentifs à vos remarques.

Merci


Sinon, impossible de se connecté avec Bajoo via un proxy qui demande une authentification :
Code : Sélectionner tout
1
2
3
4
12:03:16 [BajooAuthenticatorHTTPS] BEGIN AUTHENTIFICATE  
12:03:16 [PostSubmiter] Catch WebException : The remote server returned an error: (407) Proxy Authentication Required. 
12:03:16 [PostSubmiter] Throw response up 
12:03:16 [BajooAuthenticatorHTTPS] Authentification : FAILED!
Je testerai malgré tout le coupe de la passphrase gardé en "session" en réinstallant le logiciel chez moi ce soir.
Et l'application affirme que mon login/pass n'est pas correcte...
Avatar de bajoo bajoo - Futur Membre du Club http://www.developpez.com
le 12/04/2012 à 13:01
Citation Envoyé par kolodz  Voir le message
Place le sur l'affichage de souscription payante, si c'est pour le paiement CB. D'ailleurs, je me souviens pas avoir donné ma région pour mes billets de train.

Ce n'est pas réalisable pour des raisons techniques pour le moment.
On cherche à faire au plus simple donc en cas de paiement on prend les informations du compte, sans te les redemander.
On va juste voir pour changer ça avec notre prestataire.

Citation Envoyé par kolodz  Voir le message
Je conseil une phrase de minimum 32 caractères.

C'est trop long, la majorité des gens auront vite fait de l'oublier, ou alors ils la noteront sur un fichier texte, un bout de papier ou un post-it ce qui annulera l'intérêt du chiffrement.
Nous allons le fixer à 8 caractères.

Citation Envoyé par kolodz  Voir le message
Ma session ? Tu veux dire que j'ai un cookie avec ma plassphrase dedans ?

Non, je veux simplement dire que ton installation de Bajoo et toutes ses données sont dans le dossier de session de ton compte utilisateur.
Par exemple, le logiciel n'est pas dans "Program Files".
Donc qu'aucune donnée, chiffrée ou non, n'est accessible par un autre utilisateur de ton pc.

Citation Envoyé par kolodz  Voir le message
C'est juste que du coup, je ne peux pas vérifier le fonctionnement de l'application facilement =)

Le seul moyen de vérifier le fonctionnement réél d'un programme est d'avoir accès à son code source et ça ne va pas être possible

Citation Envoyé par kolodz  Voir le message
La CNIL laisse faire la compagnie "Trident Media Guard", malgré qu'il y ai eu plusieurs faille de sécurité majeur.

Je ne m'exprimerai pas sur le bien-fondé ou non de cette "loi". Ce serait trop long. Mais c'est un cas particulier.

Citation Envoyé par kolodz  Voir le message
Oui, fin algo de cryptage classique. Disponible avec une machine Java SE par exemple.

C'est ce qui nous permettra à l'avenir de proposer un accès web. Chaque chose en son temps

Citation Envoyé par kolodz  Voir le message
Pour une application de sécurité, il n'y pas de temporaire pour la sécurité. Un log crypté avec un clé publique aurai suffit.

C'est une bêta, donc à ne pas utiliser en production ou avec des données sensibles.

Citation Envoyé par kolodz  Voir le message
La sécurité d'une donnée est relative à plus faible protection qu'on lui applique. Avoir une donnée crypté sur un serveur et non crypté sur les pc d'utilisateurs. Pour la sécurité, c'est comme d'avoir une informations non crypté. C'est un peu comme vouloir mettre son argent dans un coffre fort le soir, mais laisser son porte-feuille trainer sur son bureau pendant la pause déjeuner...
Ça sert juste à vendre des coffres fort. Le voleur lui, ça le dérangera pas.

Les fichiers et le pc associé appartiennent à l'utilisateur, nous ne pouvons pas lui chiffrer ses propres données sur son propre pc.
De toute façon, si on le faisait, rien ne l'empêcherait d'en faire une copie à côté.
De plus, en cas de perte de sa passphrase, il n'aurait donc plus aucune copie accessible de ses données.
Et quant à espérer qu'il ait une copie sauvegardée à un autre endroit, inutile de compter le nombre de personnes dans notre entourage qui fait des backup malgré les recommandations que l'on peut leur faire ...
Donc non, c'est utopique, et on ne touchera pas aux données de nos clients.

Citation Envoyé par kolodz  Voir le message
Sinon, impossible de se connecté avec Bajoo via un proxy qui demande une authentification :
Code : Sélectionner tout
1
2
3
4
12:03:16 [BajooAuthenticatorHTTPS] BEGIN AUTHENTIFICATE 
12:03:16 [PostSubmiter] Catch WebException : The remote server returned an error: (407) Proxy Authentication Required. 
12:03:16 [PostSubmiter] Throw response up 
12:03:16 [BajooAuthenticatorHTTPS] Authentification : FAILED!
Je testerai malgré tout le coupe de la passphrase gardé en "session" en réinstallant le logiciel chez moi ce soir.
Et l'application affirme que mon login/pass n'est pas correcte...

Pour configurer un proxy, tu es passé par l'application Bajoo ou par un autre moyen ?
Envoie-moi ton identifiant sur contact [AT] bajoo [POINT] fr, car je ne t'ai pas trouvé, avec les informations que tu m'as donné, dans la base.
Nous avons de temps en temps des demandes de suppression de compte, donc si tu as fait une telle demande, c'est normal que tes identifiants ne passent plus.
Avatar de kolodz kolodz - Modérateur http://www.developpez.com
le 13/04/2012 à 9:58
C'est trop long, la majorité des gens auront vite fait de l'oublier, ou alors ils la noteront sur un fichier texte, un bout de papier ou un post-it ce qui annulera l'intérêt du chiffrement.
Nous allons le fixer à 8 caractères.


CQFD

Le seul moyen de vérifier le fonctionnement réél d'un programme est d'avoir accès à son code source et ça ne va pas être possible

C'est de faire des tests fonctionnels. Mais tu pense que dé-compiler une application est impossible...

Non, je veux simplement dire que ton installation de Bajoo et toutes ses données sont dans le dossier de session de ton compte utilisateur.
Par exemple, le logiciel n'est pas dans "Program Files".
Donc qu'aucune donnée, chiffrée ou non, n'est accessible par un autre utilisateur de ton pc.

Contre exemple simple : les dossiers utilisateur XP sont accessibles par tout les utilisateurs.
Avatar de bajoo bajoo - Futur Membre du Club http://www.developpez.com
le 13/04/2012 à 15:00
Citation Envoyé par kolodz  Voir le message
C'est de faire des tests fonctionnels. Mais tu pense que dé-compiler une application est impossible...

Je n'ai jamais dit ça, je dis juste que nous n'ouvrirons pas le code source.
Offres d'emploi IT
Ingénieur sécurité du si h/f
Atos - Ile de France - Les Clayes-sous-Bois (78340)
Consultant gouvernance si h/f
Atos Technology Services - Centre - Orléans (45000)
Lead développeur fullstack django/rest/javascript
Mobiskill - Ile de France - Paris (75000)

Voir plus d'offres Voir la carte des offres IT
Contacter le responsable de la rubrique Accueil