informatique et high-tech (les meilleures news) %) - Page 1118

https://www.nextinpact.com/brief/jean-baptiste-kempf-nomme-chevalier-de-l-ordre-du-merite-6626.htm

Tout est dans le titre. C'est mérité je pense

Heureusement que personne ne leur a dit que certains utilisaient VLC pour regarder des films téléchargés illégalement, ou des DVD sans payer les licences

Bravo, ça c'est mon pote, my bro, mein Kempf !

et Ratzilla aussi au passage.

Certains croient protéger leur enfant avec une montre tracker GPS/téléphone, sauf qu'en pratique...

https://www.pentestpartners.com/security-blog/tracking-and-snooping-on-a-million-kids/ :
Using IDOR attacks, I could:

retrieve real time GPS coordinates of the kids watches
call the child on their watch
create a covert one-way audio call, spying on the child
send audio messages to the child on the watch, bypassing the approved caller list
retrieve a photo of the child, plus their name, date of birth, gender, weight & height

Je me demande comment ça va évoluer tout ça. Maintenant que tout et n'importe quoi est connecté et que n'importe qui peut lancer ce type de produit avec les risques que ça représente pour la sécurité, ce type de news n'est même plus étonnant. En revanche je ne vois pas encore ce qui pourrait arriver pour que la tendance s'inverse ? (le premier qui dit "une loi" gagne un point Nil)

Je l'ai déjà dit plusieurs fois, mais...

Zeph (./33517) :
(le premier qui dit "une loi" gagne un point Nil)

Zut

chuis tellement blasé avecl'iot...

Alors j'ai pensé pointnil évidemment, mais avec des contraintes fortes, pénales.

Mais du coup :
- comment prouver qu'"on a fait ce qu'il fallait" pour la sécurité ? (*)
- comment les startups pourraient percer, sachant qu'elle d'autre choix que de mettre la clé sous la porte à la moindre ombre de procès, avec un patron en taule ?
- comment uniformiser la législation à l'échelle mondiale ? (Sous peine de se retrouver avec toutes les entreprises high-tech en patagonie orientale)

(*) Ca lève la question de la compétence technique des tribunaux. Aller expliquer que les mdp en clair dans passwords.txt n'est pas une faille de type 0-day sur GPG.

En clair, le problème est de plus en plus sérieux, et je n'ai aucune idée de la solution...

Folco (./33520) :
- comment prouver qu'"on a fait ce qu'il fallait" pour la sécurité ?

De la même façon qu'on le fait déjà pour la gestion des données bancaires (PCI/DSS), et qu'on commence à le faire pour les données personnelles (RGPD) : il y a des règles, des procédures à suivre, des audits, etc.

Folco (./33520) :
- comment les startups pourraient percer, sachant qu'elle d'autre choix que de mettre la clé sous la porte à la moindre ombre de procès, avec un patron en taule ?

La menace de procès, c'est quelque chose qui concerne déjà toutes les PMEs : un concurrent qui attaque pour une histoire de brevets, par exemple. En pratique, l'application de la loi n'est pas binaire, et un juge intelligent tient compte de la situation.

Folco (./33520) :
- comment uniformiser la législation à l'échelle mondiale ? (Sous peine de se retrouver avec toutes les entreprises high-tech en patagonie orientale)

Ça, c'est un vrai problème, et je n'ai pas de réponse non plus.

Déjà, même si ça ne règlerait pas tout, imposer de réelles normes avant import (avec des contrôles exercés par des organismes indépendants qui délivreraient des labels).
Après, pour le coup, le fait d'être dans l'UE permet d'avoir plus de poids pour imposer de telles normes/de tels labels. Et je pense qu'aux USA, les problèmes/besoins sont les mêmes.

Zerosquare (./33521) :
De la même façon qu'on le fait déjà pour la gestion des données bancaires (PCI/DSS), et qu'on commence à le faire pour les données personnelles (RGPD) : il y a des règles, des procédures à suivre, des audits, etc.

Pour la gestion des données bancaires ça introduit une très forte restriction sur les acteurs qui peuvent rejoindre ce marché. À moins de vouloir limiter à une petite dizaine le nombre d'entreprises qui peuvent travailler dans l'IoT pour toute la France, ça ne me semble pas très faisable. Quand aux "règles, procédures et audits" concernant RGPD, tu vas finir par l'avoir ton point Nil

Zeph (./33523) :
Pour la gestion des données bancaires ça introduit une très forte restriction sur les acteurs qui peuvent rejoindre ce marché.

En effet, mais ça n'empêche pas les petites boîtes de vendre des trucs sur Internet pour autant : ils confient juste la gestion de la partie bancaire à une boîte spécialisée qui a les agréments qui vont bien. On pourrait imaginer quelque chose de similaire pour les données sensibles.

Zeph (./33523) :
Quand aux "règles, procédures et audits" concernant RGPD, tu vas finir par l'avoir ton point Nil

Sauf que ça n'est pas seulement la conservation des données sensibles qui pose problème, c'est l'accès aux appareils eux-mêmes comme dans l'article que tu postais. Si l'appareil possède une faille alors la sécurité des données n'est plus garantie. C'est un peu la même chose que les sites qui se font régulièrement piquer des numéros de carte bleue alors qu'ils sont supposés avoir délégué la gestion des paiements (et ça arrive encore tous les jours).

Je ne parlais pas seulement du stockage des données, mais d'une solution globale. Par exemple, une offre de ce genre :
- un OS "durci" côté périphériques, avec séparation nette entre communication/sécurité/stockage (géré par le prestataire) et le reste (géré par la boîte qui développe le produit, et tournant dans une sandbox)
- la même séparation côté serveurs
- un partenariat pour le développement du produit, avec supervision de la sécurité de l'ensemble par le prestataire

Ce n'est pas parfait bien entendu, mais ça éviterait déjà les énormités comme les fabricants qui balancent les données en clair et/ou utilisent des méthodes d'authentification trivialement contournables (ou pas d'authentification du tout).

Ah, et puis (tant pis pour le point Nil ), il faut effectivement des contraintes légales pour ça, parce que sinon aucune boîte ne le ferait.

Mwé pour ton premier point, même si c'est théoriquement possible, si ça n'est pas financièrement intéressant personne ne se lancera dans ce genre d'approche.

Pour les contraintes légales je rejoins Folco : entre la difficulté d'évaluer la faute, le manque de connaissance des juges, le fait qu'il y aura toujours des importations chinoises ou autres qui ne respecteront pas ces contraintes ou bien feront tout pour les contourner, je ne crois pas qu'il faille s'attendre à quoi que ce soit de fiable.

On peut quand même faire le parallèle avec le matériel : le label NF apporte un certain nombre de garanties, même si on a toujours les merdouilles chinoises qui ne répondent pas à ces critères minimaux.
Je pense aussi que sur le long terme il y a aura un vrai travail sur le logiciel (sur les outils, les méthodes de développement, l'utilisation de langages adaptés, etc.) qui se fera progressivement et qui aboutira à une meilleure qualité (tout simplement parce qu'utiliser ces outils reviendra moins cher qu'utiliser les vieux outils).
Un exemple basique dans le monde du web : faire un site en PHP « ancienne mode » prend plus de temps — donc est plus coûteux — qu'utiliser un framework moderne (type Django, vu que c'est ce que je connais). Pour autant, la solution basée sur le framework sera bien plus sécurisée que celle en PHP « vieille école ». Simplement, il faut que ça se répande…

Même si je ne suis pas vraiment convaincu par ton exemple, je suis d'accord sur le fait qu'il faudra que ça devienne financièrement intéressant de faire quelque chose de mieux sécurisé avant que ça ne se répande. Simplement pour le moment je n'ai pas l'impression que ce soit le cas, et il faudra surement de longues années avant que tout cet écosystème ne devienne un minimum mature. D'ici là, c'est parti pour un scandale "ma vie privé est sur internet" par semaine :/

Tiens, Mozilla a fait un travail intéressant sur le sujet :

Si vous aimez Markdown et les diagrammes alors vous aimerez https://mermaidjs.github.io/

C'est a 90% du dot non?

Je ne connais pas du tout dot (c'est un fournisseur d'imprimantes thermiques pour moi ) du coup je ne saurai te dire !

ça n'a rien à voir il n'y a pas JS dans le titre donc c'est forcément moins bien

Je ne savais pas que CSR et Wolfson etait a l'origine RoyaumeUnisien

Imagination was the last [...] British chip company left standing after the £24bn sale of Arm to SoftBank last year.
CSR [...] was sold to Qualcomm for $2.4bn in 2015.
Wolfson Microelectronics, the Scottish audio chip company, was [...] by Cirrus Logic for £278m in 2014.

Le C de CSR c'est "Cambridge", donc y'avait un petit indice quand même ^^

Tu sais qu’il y a un Cambridge au USA?

Jonas: Dot matrix ok, mais pas dans le monde réel.

Godzil > oui mais c'est de la triche, les USA ils copient toutes les villes du monde