IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)

Vous êtes nouveau sur Developpez.com ? Créez votre compte ou connectez-vous afin de pouvoir participer !

Vous devez avoir un compte Developpez.com et être connecté pour pouvoir participer aux discussions.

Vous n'avez pas encore de compte Developpez.com ? Créez-en un en quelques instants, c'est entièrement gratuit !

Si vous disposez déjà d'un compte et qu'il est bien activé, connectez-vous à l'aide du formulaire ci-dessous.

Identifiez-vous
Identifiant
Mot de passe
Mot de passe oublié ?
Créer un compte

L'inscription est gratuite et ne vous prendra que quelques instants !

Je m'inscris !

Zoom annonce qu'il va proposer le chiffrement de bout en bout sous forme de Technical Preview la semaine prochaine
Pour les clients de la version gratuite et payante

Le , par Stéphane le calme

152PARTAGES

7  0 
Zoom a été l’un des grands bénéficiaires de cette pandémie : le service de visioconférence a vu son pic d’utilisation exploser au point de franchir la barre des 300 millions journaliers d’utilisateurs. Le revers de la médaille a été une attention particulière portée à l’application, notamment par des experts en sécurité. C’est dans ce contexte que des bogues ont été découverts, mais aussi le fait que les réunions Zoom ne supportaient pas le chiffrement de bout en bout.

Dans le livre blanc de Zoom, il existe une liste de « fonctionnalités de sécurité avant la réunion » disponibles pour l'hôte de la réunion qui commence par « Activer une réunion chiffrée de bout en bout (E2E) ». Plus loin dans le livre blanc, il est fait mention de « Sécuriser une réunion avec le chiffrement E2E » comme étant une « capacité de sécurité en réunion » disponible pour les hôtes de réunion. Lorsqu'un hôte démarre une réunion avec le paramètre « Exiger le chiffrement pour les points de terminaison tiers » activé, les participants voient un cadenas vert qui dit, « Zoom utilise une connexion chiffrée de bout en bout » lorsqu'ils passent la souris dessus.

Mais lorsque l’entreprise a été contactée pour savoir si les réunions vidéo sont réellement chiffrées de bout en bout, un porte-parole de Zoom a écrit : « Actuellement, il n'est pas possible d'activer le chiffrement E2E pour les réunions vidéo Zoom. Les réunions vidéo Zoom utilisent une combinaison de TCP et UDP. Les connexions TCP sont établies à l'aide de TLS et les connexions UDP sont chiffrées avec AES à l'aide d'une clé négociée sur une connexion TLS ».

Face à la réaction que cela a provoqué, l’entreprise a décidé de travailler sur ces points de sécurité. L’entreprise a d’abord rappelé que son offre était destinée principalement aux entreprises ; elle n’avait donc pas anticipé la popularité soudaine au sein des utilisateurs personnels.

Elle a proposé dans un premier temps une mise à jour de son application, Zoom 5.0. Cette dernière version s’est accompagnée de mesures de sécurité améliorées qui comprennent un chiffrement plus puissant, des mots de passe par défaut et une nouvelle icône pour un accès facile aux importants paramètres de sécurité. Ce service faisait appel à la norme de chiffrement AES 256 bits GCM. Bien qu’il ne s'agissait toujours pas d'un chiffrement de bout en bout, il venait rendre les réunions beaucoup plus sûres.

Puis Zoom a annoncé avoir fait l’acquisition de Keybase, dont l’équipe va apporter son expertise pour aider Zoom à construire un chiffrement de bout en bout pour ses vidéoconférences « qui pourront atteindre l'évolutivité actuelle de Zoom ».


Le chiffrement de bout en bout est déployé progressivement

Par le biais de Max Krohn, Head of Security Engineering chez Zoom, l'entreprise a annoncé déployer cette offre :

« Nous sommes ravis d'annoncer qu'à partir de la semaine prochaine, l'offre de chiffrement de bout en bout (E2EE) de Zoom sera disponible sous forme de technical preview, ce qui signifie que nous sollicitons de manière proactive les commentaires des utilisateurs pendant les 30 premiers jours. Les utilisateurs de Zoom - gratuits et payants - du monde entier peuvent accueillir jusqu'à 200 participants à une réunion E2EE sur Zoom, offrant une confidentialité et une sécurité accrues pour vos sessions Zoom.

« Nous avons annoncé en mai notre intention de créer une option de réunion chiffrée de bout en bout sur notre plateforme, en plus du chiffrement déjà puissant et des fonctionnalités de sécurité avancées de Zoom. Nous sommes heureux de déployer la première phase sur les quatre de notre offre E2EE, qui fournit des protections robustes pour aider à empêcher l'interception des clés de déchiffrement qui pourraient être utilisées pour surveiller le contenu des réunions. »

Il a précisé que le chiffrement de bout en bout de Zoom « utilise le même chiffrement GCM puissant que vous obtenez actuellement dans une réunion Zoom. La seule différence réside dans l'emplacement de ces clés de chiffrement ».


Dans les réunions classiques, le cloud de Zoom génère des clés de chiffrement et les distribue aux participants à la réunion à l'aide des applications Zoom lorsqu'ils se joignent. Avec l'E2EE de Zoom, l'hôte de la réunion génère des clés de chiffrement et utilise la cryptographie à clé publique pour distribuer ces clés aux autres participants à la réunion. Les serveurs de Zoom deviennent des relais inconscients et ne voient jamais les clés de chiffrement nécessaires pour déchiffrer le contenu de la réunion.

« Le chiffrement de bout en bout est un autre pas en avant pour faire de Zoom la plateforme de communication la plus sécurisée au monde », a déclaré Eric S. Yuan, PDG de Zoom. « Cette phase de notre offre E2EE offre la même sécurité que les plateformes de messagerie chiffrées de bout en bout existantes, mais avec la qualité vidéo et l'évolutivité qui ont fait de Zoom la solution de communication de choix pour des centaines de millions de personnes et les plus grandes entreprises du monde. »

Dans une foire à questions, l'éditeur a tenté d'apporter le plus d'éclaircissements possible aux utilisateurs. Par exemple :
  • Comment Zoom fournit-il un chiffrement de bout en bout ? L’offre E2EE de Zoom utilise la cryptographie à clé publique. En bref, les clés de chaque réunion Zoom sont générées par les machines des participants, et non par les serveurs de Zoom. Les données chiffrées relayées via les serveurs de Zoom sont indéchiffrables par Zoom, car les serveurs de Zoom ne disposent pas de la clé de déchiffrement nécessaire. Cette stratégie de gestion des clés est similaire à celle utilisée par la plupart des plateformes de messagerie chiffrées de bout en bout aujourd'hui.
  • Comment activer E2EE ? Les hôtes peuvent activer le paramètre E2EE au niveau du compte, du groupe et de l'utilisateur et peuvent être verrouillés au niveau du compte ou du groupe. Tous les participants doivent avoir le paramètre activé pour rejoindre une réunion E2EE. Dans la phase 1, tous les participants à la réunion doivent se joindre à partir du client de bureau Zoom, de l'application mobile ou des salons Zoom Room.
  • Ai-je accès à toutes les fonctionnalités d'une réunion Zoom régulière ? Pas tout de suite. L'activation de cette version d'E2EE de Zoom dans vos réunions désactive certaines fonctionnalités, notamment rejoindre la réunion avant l'hôte, l'enregistrement dans le cloud, le streaming, la transcription en direct, les Breakout Rooms, les sondages, le chat privé 1:1 et les réactions aux réunions.
  • Les utilisateurs gratuits de Zoom ont-ils accès au chiffrement de bout en bout ? Oui. Les comptes Zoom gratuits et payants qui se joignent à partir du client de bureau ou de l'application mobile de Zoom, ou d'une Zoom Room, peuvent héberger ou rejoindre une réunion E2EE.
  • En quoi est-ce différent du chiffrement GCM amélioré de Zoom ? Les réunions et webinaires Zoom utilisent par défaut le chiffrement GCM AES 256 bits pour le partage audio, vidéo et d'application (c'est-à-dire le partage d'écran, le tableau blanc) en transit entre les applications Zoom, les clients et les connecteurs. Dans une réunion sans E2EE activé, le contenu audio et vidéo circulant entre les applications Zoom des utilisateurs n'est pas déchiffré tant qu'il n'a pas atteint les appareils des destinataires. Cependant, les clés de chiffrement de chaque réunion sont générées et gérées par les serveurs de Zoom. Lors d'une réunion avec E2EE activé, personne, à l'exception de chaque participant, pas même les serveurs de Zoom, n'a accès aux clés de chiffrement utilisées pour chiffrer la réunion.
  • Comment vérifier que ma réunion utilise le chiffrement de bout en bout ? Les participants peuvent rechercher un logo de bouclier vert dans le coin supérieur gauche de leur écran de réunion avec un cadenas au milieu pour indiquer que leur réunion utilise E2EE. Il ressemble à notre symbole de chiffrement GCM, mais la coche est remplacée par un verrou.


    Les participants verront également le code de sécurité du responsable de la réunion qu’ils peuvent utiliser pour vérifier la connexion sécurisée. L'hôte peut lire ce code à haute voix et tous les participants peuvent vérifier que leurs clients affichent le même code.



Source : Zoom

Voir aussi :

Zoom publie ses résultats trimestriels. Son chiffre d'affaires passe de 145 à 663 millions de dollars et le nombre d'entreprises de plus de 10 employés clientes de Zoom a été multiplié par cinq
Microsoft et Zoom rejoignent le mouvement de suspension du traitement des demandes de données provenant de Hong Kong, comme l'ont fait d'autres entreprises technologiques
Zoom cède à la censure en Chine, et travaille sur une nouvelle fonctionnalité, qui aidera Pékin à cibler les utilisateurs chinois

Une erreur dans cette actualité ? Signalez-nous-la !

Avatar de Arb01s
Membre du Club https://www.developpez.com
Le 03/08/2021 à 21:22
Si on veut vraiment de la sécurité, on génère soi-même sa paire publique/privée, on se l'échange par un moyen détourné (pitié, pas en clair par mail), puis on utilise une solution de communication fiable (ProtonMail, Thunderbird, Jami (Ring), Mumble... du logiciel libre ou des acteurs étiques)
L'avantage justement du chiffrement asymétrique et des clés publiques et privées est que l'on peut s’échanger nos clés PUBLIQUES par un medium non chiffré, car c'est justement une clé publique. A contrario, la clef privée ne doit jamais être communiquée à personne, même à nos interlocuteurs de confiance.
4  0 
Avatar de pboulanger
Membre éprouvé https://www.developpez.com
Le 31/08/2023 à 9:33
A l'heure des grands openspaces le télétravail permet de travailler dans un environnement plus serein (moins bruyant) tout en évitant de perdre du temps dans les transports (aller/retour au bureau me coûte 2h30 de transports en commun quand tout va bien). Le télétravail est donc plus intéressant pour ce qui nécessite de la concentration mais il faut faire attention de ne pas se laisser distraire par l'environnement (TV, radio, enfants, etc...): il faut donc une certaine maturité ou volonté.
Malheureusement le télétravail nuit à l'esprit d'équipe: les membres ont moins de contact, ne se voient pas et ont moins d'événements qui permettent de créer une cohésion. La pause café au bureau est souvent un moment de partage et d'échange qui permet de connaître ses collègues et de créer du lien qui transcende l'aspect purement travail. Alors il y a des cafés virtuels et des échanges standards mais, personnellement, je trouve que ça n'a ni le même charme ni le même effet sur l'équipe. Et dans mon passé, j'ai de nombreux souvenirs sur la pause café qui a permet de résoudre des problèmes de travail ou permis de faire émerger des idées.
5  1 
Avatar de Leruas
Membre éclairé https://www.developpez.com
Le 08/08/2023 à 18:20
La blague... ils vivent grâce au télétravail mais ça va être interdit chez eux
3  0 
Avatar de calvaire
Expert confirmé https://www.developpez.com
Le 31/08/2023 à 11:27
Moi je bois pas de café j'ai horreur de ca et je fume pas, donc pas de pause café et de pause clope.
je préfère faire le minimum de pause pour rentrer le plus vite chez moi.

les afterwork, je n'y vais jamais ça me fait chier.

Donc les rencontres à la pause clope/café ou au afterwork ne m'ont jamais concernés.

Les seuls interactions que j'ai pendant le déjeuner, et on discute jamais boulot.
on parle des loisirs/de ce qu'on a fait le weekend/pendant les vacances, de politique mais aussi.... des augmentations qu'on a pas, on parle du collègue qui a démissionner et si on faisait pareil quel salaire on peut avoir, de la direction qui fait vraiment de la merde...etc.

J'ai 3 jours de télétravail/semaines et je suis bien dans mon taff et je suis pas en environnement toxique, ce que je veux dire c'est que les discussions entre collègue c'est pas toujours pour apporter de nouvelles idées mais c'est aussi et souvent pour se plaindre du mauvais salaire qui augmente pas alors que le pdg lui a été augmenté de 30 millions, des mauvais outils ou des mauvaises décisions de la boite.

le télétravail permet aussi d'éviter de ce plaindre et d'une certaine façon d’être plus fidèle à l'employeur.

j'ai connu ca il y'a 10ans, dans une grosse boite du cac40, ca faisait 3 ans qu'on avait pas été augmenté et les nouveaux collègues qui venait d’être embauché été mieux payé que nous... du coups a force d'en discuter entre membre de l'équipe (7 personnes) on a tous démissionner quasiment au même moment. Le PO sait retrouvé tout seul et a du vite embaucher et refaire une équipe.
en full remote cette situation ne se serait pas produite.
4  1 
Avatar de defZero
Membre extrêmement actif https://www.developpez.com
Le 10/11/2020 à 18:57
Petit rappel de bon sens : le chiffrement de bout en bout sert uniquement à protéger les éditeurs d'éventuelles poursuites judiciaires au cas où leur logiciel serait utilisé à mauvais escient.
Ils peuvent ainsi prétendre ne pas savoir ce qui se tramait sur leur plateforme.
On l'a vu avec Encrochat, il est techniquement et légalement possible d'intercepter les discussions qui transitent sur ces messageries en cas de besoin.
@Jeff_67
Sauf que le chiffrement de bout en bout "bien implémenté", devrait justement rendre impossible toute interception par un tiers puisqu'elle doit être faite en P2P entre les intervenants de la communication sans passer par un serveur centrale.
Le seule moyen de "percer" le chiffrement serait d'avoir la main sur l'un des intervenants de la communication qui doit bien détenir les clés de déchiffrements pour consulter les messages en clair.
Donc que ce soit techniquement ou légalement, c'est juste impossible de d’exiger d'un tiers d'intercepter les communications, puis qu’à la base il n'a aucun moyen d'y accéder en clair, si implémenté dans les règles sans portes dérobés et sans algo de cryptage troués.
2  0 
Avatar de palnap
Membre averti https://www.developpez.com
Le 31/08/2023 à 12:09
En même temps quand on voit leur produit phare... Ça laisse un doute 😅

Cf. https://ifuckinghatejira.com/
2  0 
Avatar de
https://www.developpez.com
Le 11/11/2020 à 7:03
Citation Envoyé par defZero Voir le message
Sauf que le chiffrement de bout en bout "bien implémenté", devrait justement rendre impossible toute interception par un tiers puisqu'elle doit être faite en P2P entre les intervenants de la communication sans passer par un serveur centrale.
Le seule moyen de "percer" le chiffrement serait d'avoir la main sur l'un des intervenants de la communication qui doit bien détenir les clés de déchiffrements pour consulter les messages en clair.
Donc que ce soit techniquement ou légalement, c'est juste impossible de d’exiger d'un tiers d'intercepter les communications, puis qu’à la base il n'a aucun moyen d'y accéder en clair, si implémenté dans les règles sans portes dérobés et sans algo de cryptage troués.
En l’occurence, dans l’affaire Encrochat, la gendarmerie a eu légalement accès aux serveurs situés en France grâce à une commission rogatoire pour diffuser un malware et trouer la sécurité des terminaux à l’insu des usagers. Aux USA, c’est encore mieux, le Patriot Act peut contraindre les entreprises à trouer la sécurité de leurs logiciels avec interdiction de le dévoiler publiquement.
1  0 
Avatar de Aesir
Membre du Club https://www.developpez.com
Le 24/08/2023 à 9:43
De toute façon, managers comme CEO ne servent à rien si ce n'est être payés plus et faire les coqs entre eux
2  1 
Avatar de Ryu2000
Membre extrêmement actif https://www.developpez.com
Le 31/08/2023 à 13:57
Citation Envoyé par pboulanger Voir le message
A l'heure des grands openspaces le télétravail permet de travailler dans un environnement plus serein (moins bruyant)
Tout le monde n'a pas accès à de bonnes conditions de travail à la maison.
Par exemple ceux qui vivent dans des très grandes villes, sont généralement dans des petits appartements.
Il n'y a pas forcément un bureau insonorisé.
Certains ont des enfants qui foutent le bordel, ça doit être en partie pour ça que certaines personnes restent souvent tard au bureau.
Il faut pouvoir être isolé dans une pièce où tu n'entends pas les enfants, sinon autant être dans un open space.
Quoi que maintenant il existe des casques réducteurs de bruit, ça peut être intéressant.

Citation Envoyé par calvaire Voir le message
Les seuls interactions que j'ai pendant le déjeuner, et on discute jamais boulot.
on parle des loisirs/de ce qu'on a fait le weekend/pendant les vacances, de politique mais aussi.... des augmentations qu'on a pas, on parle du collègue qui a démissionner et si on faisait pareil quel salaire on peut avoir, de la direction qui fait vraiment de la merde...etc.
Dans mon entreprise c'est pareil.
D'ailleurs il y a un collègue qui a démissionné, il a retrouvé un job payé 45 k€ brut/an, un autre collègue a démissionné juste après.

Citation Envoyé par Patrick Ruiz Voir le message
« Le travail est une vocation et non un lieu. Nous attendons donc des gens qu'ils puissent travailler chez eux, depuis un café, un bureau, mais nous ne nous soucions pas vraiment de l'endroit où ils font leur travail. Ce qui nous importe, c'est le résultat qu'ils produisent »
Rares sont les entreprises qui partagent cette philosophie.
1  0 
Avatar de
https://www.developpez.com
Le 10/11/2020 à 14:51
Petit rappel de bon sens : le chiffrement de bout en bout sert uniquement à protéger les éditeurs d'éventuelles poursuites judiciaires au cas où leur logiciel serait utilisé à mauvais escient. Ils peuvent ainsi prétendre ne pas savoir ce qui se tramait sur leur plateforme. On l'a vu avec Encrochat, il est techniquement et légalement possible d'intercepter les discussions qui transitent sur ces messageries en cas de besoin.
0  0