Sécurité info - Page 34

oui, mais maintenant on parle de service de renseignement en français (et l'espionnage n'est qu'une mission d'un des services de renseignement)

oui c'est plus joli

tout est question d'esthétique !

Tout à fait

et est-ce que les comptes utilisateurs comptent comme données personnelles ?

S'ils permettent d'identifier directement ou indirectement la personne, oui.
Un login utilisateur, des logs pouvant permettre de remonter à une personne et à son activité... tout ça doit faire l'objet soit d'une demande d'autorisation CNIL, soit d'une inscription dans le registre du CIL, soit d'une dispense (en fonction des données connectées, de s'il y a des croisements de bases, de s'il y a un CIL dans la structure, etc.). Et ce même si c'est une conservation de donnée qui est faite pour obéir à la loi.
Sachant qu'il y a plusieurs paramètres qui doivent être systématiquement analysés, en particulier :
- on ne demande/conserve/exploite que les données dont on a besoin à l'instant T (on ne peut pas stocker une donnée "au cas où").
- la durée de conservation doit répondre à une exigence pratique (et éventuellement légale, mais ça peut ne pas suffire, la CNIL française et la CNIL européenne a déjà tapé sur la durée de conservation des logs de connexion internet) ; on ne conserve pas pour le plaisir de conserver
- l'archivage doit respecter des règles strictes (il permet une dérogation à la conservation à long terme, mais l'archivage doit être "mort", c'est à dire qu'il ne doit pas être accessible directement, sinon ce n'est pas de l'archivage).

Bon, ça va être pénible, en fait

Merci pour les renseignements, ça me fera du boulot quand j'aurai fini avec tout le reste

Bah c'est archi pénible, je suis d'accord avec toi Mais bon, ce sont des demandes légitimes pour éviter qu'on ne fasse n'importe quoi avec les données personnelles.
D'ailleurs, il faut savoir que la Loi Informatique et Libertés (et le RGDP) ne se cantonne pas aux traitement informatiques, mais aussi à tout ce qui est papier (parce qu'on estime que l'OCR est arrivé à un tel niveau que papier et données numériques ont les mêmes dangers), et que ça touche aussi évidemment le contenu des pièces jointes des usagers (ça, c'est un réel problème, parce que contrairement à une application centralisée, on a beaucoup de mal à avoir la maîtrise de ces informations).
D'ailleurs, la législation ne vaut pas pour que les entreprises, associations et organismes publics, elle vaut aussi pour les particuliers (à la seule différence qu'ils n'ont pas de demande d'autorisation à faire lorsque ça reste dans le domaine privé, mais qu'ils doivent respecter le fait de ne pas stocker des informations non nécessaires à l'usage dont ils en ont besoin).
Cela dit, je ne crois pas que la CNIL ait contrôlé une seule fois un particulier sur ce sujet (par contre, elle peut s'auto saisir dans certaines affaires où une caméra de vidéosurveillance d'un particulier enregistre l'espace public sans autorisation).

Ce genre de lois sont des lois absolument impossibles à respecter écrites par des personnes qui ne comprennent absolument rien au fonctionnement de l'informatique. Déjà le droit à l'oubli est une aberration.

Le problème à la base est que beaucoup trop de données personnelles sont récoltées dès le départ. Mais exiger la possibilité d'une suppression complète des données après coup n'est absolument pas réaliste.

Ce n'est pas ce qui est demandé, justement. Toi aussi tu aimes bien râler sans avoir approfondi le sujet ?
L'objectif est, justement, que les entreprises réfléchissent à la question en préalable à la mise en place d'un nouveau traitement. La loi initiale existe depuis les années 70 en France et concerne les données manipulées sur le sol français ainsi que les données des ressortissants français même si traitées hors du territoire. Donc toutes les entreprises qui proposent un service de ce type devraient s'y être astreintes.
Cela dit, le RGDP va faire mal : jusqu'à présent, la CNIL ne pouvait pas dresser d'amende de plus de 300000€. Aujourd'hui, chaque CNIL européenne pourra en dresser une jusqu'à 4% du CA mondial de la structure, ou jusqu'à20 millions d'Euros (cas où les comptes ne sont pas publics, ou d'une entité publique). Et chaque CNIL d'un état membre peut dresser une amende à une même entreprise.

( aux deux derniers)

à toi aussi, du coup !

ah oui tiens, merci

Nil (./1000) :
Ce n'est pas ce qui est demandé, justement. Toi aussi tu aimes bien râler sans avoir approfondi le sujet ?

Les informations étaient noyées dans ta purée de citrouilles.

j0r

les informations sont accessibles depuis n'importe quel lien en cherchant RGDP sur n'importe quel moteur de recherche.

Nil (./998) :
Bah c'est archi pénible, je suis d'accord avec toi Mais bon, ce sont des demandes légitimes pour éviter qu'on ne fasse n'importe quoi avec les données personnelles.

Je suis le premier partisan pour que l'informatique devienne un domaine comme les autres (avec une vraie réglementation) ! et il faut bien commencer quelque part (les outils nécessaires viendront progressivement, pour l'instant c'est du systemd (ohohoh) et de l'huile de coude).

Une raison de plus de bloquer les scripts sur les sites : https://freedom-to-tinker.com/2017/11/15/no-boundaries-exfiltration-of-personal-data-by-session-replay-scripts/
(et ce n'est pas un risque théorique, mais ce que plein de sites exploitent déjà)

joie

J'utilise uMatrix en remplacement de NoScript. Moins pénible que ce dernier, mais il est vrai que ça fout un sacré bordel tant certains sites reposent beaucoup trop sur des scripts pour juste rendre du texte.

NoScript avait en effet fini par me saouler.

ublock doit deja blocker ce genre de truc, surtout si c'est recuperé depuis un site en particulier

Faudrait vraiment virer le JavaScript (et tout autre langage Turing-complet, genre le WebAssembly) du web!

Bien que je sois pas entièrement contre, c'est juste 20 ans trop tard pour faire ça.

Oui, enfin CSS3+HTML5 est Turing-complet, donc en partant de là...

Il faut dire qu'en réalité, plus que la machine de Turing, ce sont les possibilités d'entrée-sortie qui sont beaucoup trop permissifs. On peut intercepter toutes les entrées de l'utilisateur, tout stocker dans des cookies et maintenant même dans des bases de données, envoyer tout ce qu'on veut à n'importe quel serveur, etc. CSS à lui seul ne serait pas un tel danger (Turing-complet ou pas), et un langage style JS avec seulement des boucles finies et sans récursion (donc non-Turing-complet) serait tout aussi dangereux.

...

Réfléchissez à deux fois avant d'installer un clavier virtuel sur Android :
https://mackeepersecurity.com/post/virtual-keyboard-developer-leaked-31-million-of-client-records

ouch